Una vulnerabilità critica in APT, il gestore di pacchetti utilizzato da Debian e Ubuntu, potrebbe consentire a un aggressore di sostituire il download di un pacchetto con un file malevolo ed eseguire codice con privilegi di root. La vulnerabilità, identificata come CVE-2026-109518, è stata descritta negli avvisi pubblicati da Debian, Ubuntu e dagli sviluppatori di APT il 4 novembre.
L’attacco sfrutta il fatto che APT riprova a scaricare un file quando il download non riesce: questa impostazione è abilitata per impostazione predefinita in Debian 12 e versioni successive e in Ubuntu 22.04 e versioni successive. Secondo gli sviluppatori di APT, un aggressore in grado di alterare il traffico HTTP tra un sistema e il suo server dei pacchetti potrebbe usare reindirizzamenti ed errori temporanei del server per attivare nuovi tentativi e sostituire un pacchetto.
Debian ha pubblicato versioni corrette di APT. Anche Ubuntu ha rilasciato versioni aggiornate per Ubuntu 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS. Ubuntu classifica il problema come ad alta priorità e gli assegna un punteggio CVSS 4.0 di 7.7. Nel suo avviso afferma che sono interessate anche le distribuzioni basate su Debian e Ubuntu, senza indicarle per nome.
Secondo Ubuntu, le versioni meno recenti, tra cui Debian 11 e Ubuntu 20.04, non sono vulnerabili per impostazione predefinita. Gli sviluppatori di APT avvertono tuttavia che gli script potrebbero aver abilitato l’impostazione Acquire::Retries su questi sistemi. Per Debian 11 è stata pubblicata una versione corretta di APT, la 2.2.5.
Ubuntu ha dichiarato che gli abbonati a Ubuntu Pro possono ottenere una correzione per Ubuntu 14.04. Gli avvisi non descrivono alcun caso noto di sfruttamento né indicano soluzioni alternative per i sistemi che non possono essere aggiornati. Parlano di attacchi tramite HTTP, ma non specificano se siano interessate anche le fonti dei pacchetti consultate tramite HTTPS. La vulnerabilità è stata segnalata da Max Justicz.
Fonti: The Hacker News.