APT propust otvara put zameni paketa na Debianu i Ubuntuu
Kritična ranjivost CVE-2026-109518 u APT-u, upravljaču paketima za Debian i Ubuntu, omogućava napadaču koji može da menja HTTP saobraćaj između sistema i servera paketa da zameni već provereni paket sopstvenim. Zlonamerni kod se potom izvršava sa root privilegijama. Debian je objavio ispravljene verzije, a Ubuntu je 4. novembra objavio nove APT pakete za 22.04 LTS, 24.04 LTS, 26.04 LTS i 26.10.
Kako dolazi do zamene paketa
Za napad je potrebno da APT ponovi neuspešno preuzimanje. To ponašanje je podrazumevano uključeno od Debiana 12 i Ubuntua 22.04 nadalje. Napadač može biti zlonamerni miror ili posrednički proksi, odnosno svako ko ima mogućnost izmene HTTP saobraćaja između APT klijenta i izvora paketa.
Mehanizam se oslanja na HTTP preusmeravanja i uobičajene privremene greške servera. Takvi odgovori navode APT da pokuša novo preuzimanje, čime napadač dobija priliku da zameni sadržaj koji je prethodno prošao proveru. Propust je prijavio Max Justicz, a razvojni tim APT-a označio ga je kao kritičan.
Ubuntu je ranjivost ocenio prioritetom visokog nivoa i dodelio joj CVSS 4.0 ocenu 7,7. Prema Ubuntuovom obaveštenju, pogođene mogu biti i distribucije zasnovane na Debianu i Ubuntuu. Savetodavna obaveštenja ne navode potvrđene zloupotrebe niti privremeno rešenje za sisteme koji još ne mogu da se ažuriraju.
Koji sistemi zahtevaju proveru
Debian 11 i Ubuntu 20.04 nisu podrazumevano izloženi, jer na njima ponovni pokušaji preuzimanja nisu uključeni po difoltu. Ipak, razvojni tim APT-a upozorava da su mnoge korisničke skripte mogle aktivirati opciju Acquire::Retries, pa i ta okruženja zahtevaju proveru konfiguracije. Za Debian 11, čija je dugoročna podrška završena 31. avgusta, objavljena je ispravljena verzija APT-a 2.2.5.
Ubuntu je u bezbednosnu arhivu postavio APT 2.4.15ubuntu0.1 za 22.04 LTS, 2.8.4ubuntu0.1 za 24.04 LTS, 3.2.1ubuntu0.1 za 26.04 LTS i 3.3.3ubuntu0.1 za 26.10. U trenutku objave obaveštenja, Ubuntu je i dalje vodio svih osam praćenih izdanja, od 14.04 LTS do 26.10, kao ranjiva dok se ažuriranja ne primene.
Operativni zaključak za organizacije
Organizacije treba da popišu APT verzije na serverima i radnim stanicama, primene dostupne bezbednosne nadogradnje i provere da li automatizacija eksplicitno postavlja Acquire::Retries. Posebnu pažnju zaslužuju sistemi koji pakete preuzimaju preko HTTP-a, korporativnih proksija ili privatnih mirora.
Rizik je širi od pojedinačnog hosta jer kontejnerski propust do root pristupa hostu pokazuje koliko posledice root pristupa mogu zahvatiti infrastrukturu kada se granica poverenja naruši. Prioritet je zato ažuriranje APT-a i provera putanje kojom paketi stižu do produkcionih sistema.