Eine kritische Schwachstelle in APT, dem Paketmanager von Debian und Ubuntu, könnte es einem Angreifer ermöglichen, einen Paketdownload durch eine schädliche Datei zu ersetzen und Code mit Root-Rechten auszuführen. Die als CVE-2026-109518 erfasste Schwachstelle wurde in Sicherheitsmitteilungen beschrieben, die Debian, Ubuntu und die Entwickler von APT am 4. November veröffentlichten.
Der Angriff nutzt aus, dass APT einen fehlgeschlagenen Download erneut versucht. Diese Einstellung ist unter Debian 12 und neueren Versionen sowie Ubuntu 22.04 und neueren Versionen standardmäßig aktiviert. Laut den APT-Entwicklern könnte ein Angreifer, der den HTTP-Datenverkehr zwischen einem System und dessen Paketserver verändern kann, mithilfe von Weiterleitungen und vorübergehenden Serverfehlern erneute Versuche auslösen und ein Paket einschleusen.
Debian hat korrigierte APT-Versionen veröffentlicht. Ubuntu hat ebenfalls aktualisierte Builds für Ubuntu 26.10, 26.04 LTS, 24.04 LTS und 22.04 LTS bereitgestellt. Ubuntu stuft das Problem als hochprioritär ein und vergibt einen CVSS-4.0-Wert von 7,7. In der Sicherheitsmitteilung heißt es, dass auch auf Debian und Ubuntu basierende Distributionen betroffen sind, ohne sie namentlich zu nennen.
Ältere Versionen, darunter Debian 11 und Ubuntu 20.04, sind laut Ubuntu standardmäßig nicht anfällig. Die APT-Entwickler warnen jedoch, dass Skripte auf diesen Systemen die Einstellung Acquire::Retries aktiviert haben könnten. Eine korrigierte APT-Version, 2.2.5, wurde für Debian 11 veröffentlicht.
Ubuntu teilte mit, dass Ubuntu-Pro-Abonnenten eine Fehlerbehebung für Ubuntu 14.04 erhalten können. Die Sicherheitsmitteilungen erwähnten keine bekannten Angriffe und boten keine Umgehungslösung für Systeme, die nicht aktualisiert werden können. Sie behandeln Angriffe über HTTP, sagen jedoch nicht, ob Paketquellen betroffen sind, auf die über HTTPS zugegriffen wird. Max Justicz meldete die Schwachstelle.
Quellen: The Hacker News.