Уязвимость в APT, штатном менеджере пакетов Debian и Ubuntu, позволяет тому, кто может менять HTTP-трафик между машиной и сервером пакетов, подменить уже проверенный пакет на свой. Код атакующего выполнится с правами root. Проблема получила идентификатор CVE-2026-109518; предупреждения 4 ноября опубликовали Debian, Ubuntu и разработчики APT, которые называют её критической.
Атака срабатывает в момент установки пакета и опирается на штатный механизм повторных попыток загрузки. Начиная с Debian 12 и Ubuntu 22.04 APT повторяет неудачные загрузки по умолчанию, так что на этих и более новых выпусках условия для эксплуатации складываются сами собой. Атакующий провоцирует повтор через HTTP-редиректы и обычные временные ошибки сервера — и на повторе подсовывает свой пакет вместо проверенного.
Кто может быть атакующим и что уже исправлено
По формулировке Ubuntu, атакующим может выступить любой, кто способен изменить HTTP-трафик между APT и сервером пакетов, — в том числе вредоносное зеркало или прокси. Это делает вектор особенно неприятным для инфраструктур, где репозитории тянут через промежуточные узлы и кэширующие прокси.
Debian уже выпустил исправленные версии APT. Разработчики APT сообщают, что обновления для Ubuntu и подписки Ubuntu Pro выходят; пользователи Ubuntu 14.04 с Ubuntu Pro могут получить исправление уже сейчас. Для Debian 11, чья долгосрочная поддержка Debian завершилась 31 августа, разработчики APT опубликовали исправленную версию 2.2.5.
Ubuntu опубликовала новые сборки APT для четырёх выпусков в своём архиве безопасности 4 ноября в 14:25 UTC:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
При этом в 15:46 UTC Ubuntu всё ещё помечала все восемь отслеживаемых выпусков — от 14.04 LTS до 26.10 — как уязвимые. Ветка Debian testing на 14:58 UTC 4 ноября оставалась на уязвимой версии 3.3.5.
Насколько это серьёзно и кого ещё затрагивает
Ubuntu оценивает проблему как высокоприоритетную с баллом 7.7 по CVSS 4.0. Вендор также указывает, что затронуты дистрибутивы, построенные на Debian и Ubuntu, но не называет их. Для администратора это значит, что проверять наличие обновления нужно не только на «чистых» Debian и Ubuntu, но и на производных системах.
Старые выпуски — например, Debian 11 и Ubuntu 20.04 — по данным Ubuntu, по умолчанию не подвержены атаке. Однако разработчики APT предупреждают: многие пользовательские скрипты могли включить настройку повторов Acquire::Retries и на этих релизах. Если у вас такой скрипт есть, старая система перестаёт быть безопасной по умолчанию.
Что делать администратору
Первое действие — обновить APT до исправленной сборки для своего выпуска и проверить, не включены ли повторы загрузки там, где релиз считается незатронутым. Стоит также пересмотреть, через какие зеркала и прокси ходят репозитории: вредоносное зеркало или прокси — один из описанных векторов.
Ни один из трёх бюллетеней не описывает случаев эксплуатации уязвимости и не предлагает обходного пути для систем, которые пока нельзя обновить. Описанный сценарий атаки — это HTTP; о том, подвержены ли источники пакетов, доступные по HTTPS, в бюллетенях не говорится.
Уязвимость обнаружил Max Justicz. Смежные проблемы в инфраструктуре обновлений и пакетных менеджерах уже попадали в сводки: например, критическая уязвимость в LXD и MicroCloud с оценкой 10.0 и уязвимость в TCP-коде ядра Linux с оценкой 9.8. Общий вывод для парка машин один: обновления нужно ставить быстро, а каналы доставки пакетов держать под контролем.
Частые вопросы
Кого касается CVE-2026-109518?
Всех, кто ставит пакеты через APT на Debian 12 и новее, Ubuntu 22.04 и новее, а также на производных дистрибутивах. Старые выпуски по умолчанию не подвержены, но только если на них не включены повторы загрузки.
Как проверить свою версию APT?
Посмотрите версию установленного пакета и сравните с исправленными сборками Ubuntu из списка выше. Для Debian ориентируйтесь на версии, опубликованные проектом; для Debian 11 исправленная — 2.2.5.
Что делать, если обновиться прямо сейчас нельзя?
Готового обходного пути бюллетени не предлагают. Разумный минимум — не устанавливать пакеты через недоверенные зеркала и прокси и отключить повторы загрузки, если они включены.
Атака работает только по HTTP?
Описанный сценарий — да, по HTTP. Подвержены ли источники пакетов, доступные по HTTPS, в бюллетенях не сказано.
Нужно ли что-то менять в настройках Acquire::Retries?
Если вы на затронутом выпуске, обновление APT закрывает проблему. Если на незатронутом, проверьте, не включили ли повторы ваши скрипты: именно это делает старую систему уязвимой.
Может ли атаку провести вредоносное зеркало?
Да, Ubuntu прямо называет вредоносное зеркало или прокси в числе возможных атакующих — вместе с любым, кто может менять HTTP-трафик до сервера пакетов.
Есть ли уже случаи эксплуатации?
Ни в одном из трёх бюллетеней случаи эксплуатации не описаны.
Что это значит для российских администраторов?
Debian и Ubuntu широко используются в серверных и инфраструктурных задачах, в том числе в качестве базовых систем для производных дистрибутивов. Проверьте версию APT на всех машинах, где установка идёт через прокси или внутреннее зеркало, и обновите пакет до исправленной сборки.
Источник: thehackernews.com