Le 4 novembre, Debian (DSA-6607-1) et Ubuntu (USN-8996-1) ont corrigé une faille du gestionnaire de paquets APT lui-même, CVE-2026-109518, découverte par Max Justicz. L'avis de Debian explique qu'APT peut fusionner deux téléchargements de paquets différents lorsqu'une redirection HTTP leur donne la même URI, et qu'une mauvaise gestion des fichiers lors de la reprise d'un téléchargement HTTP permet à un attaquant de type « homme du milieu » de remplacer un paquet après sa vérification, ce qui aboutit à l'exécution de code arbitraire en tant que root. Ubuntu lui attribue un score CVSS v4 de 7,7.

Qui est concerné

  • L'attaquant doit pouvoir altérer le trafic HTTP entre APT et le dépôt, et la description du NVD inclut explicitement un miroir ou un proxy malveillant. Les dépôts officiels de Debian et d'Ubuntu utilisent HTTP par défaut et comptent sur les signatures et les empreintes pour empêcher toute altération ; cette faille contourne justement l'étape qui suit la vérification.
  • L'exploitation exige qu'APT suive les redirections et relance les téléchargements, c'est-à-dire que Acquire::Retries ne soit pas à 0. Cette valeur est à 3 par défaut depuis Debian 12 et Ubuntu 22.04, donc les configurations par défaut de ces versions et des suivantes sont concernées ; les versions plus anciennes ne le sont pas par défaut, mais si vos scripts définissent eux-mêmes des relances, il vous faut aussi le correctif.
  • La même mise à jour de Debian corrige aussi plusieurs problèmes d'accès hors limites.

Versions corrigées et mise à jour

  • Ubuntu : apt 2.4.15ubuntu0.1 sur 22.04, 2.8.4ubuntu0.1 sur 24.04, 3.2.1ubuntu0.1 sur 26.04 et 3.3.3ubuntu0.1 sur 26.10 ; 20.04 et les versions antérieures le reçoivent via l'ESM d'Ubuntu Pro.
  • Debian : 3.0.4 sur 13 (trixie) et 2.6.2 sur 12 (bookworm, DLA-4880-1).
  • Vérifiez la version installée avec apt-cache policy apt. La mise à jour d'apt est elle-même effectuée par l'ancien apt ; le chercheur qui a relayé l'avis sur la liste de diffusion oss-security a noté que régler Acquire::Retries sur 0 peut atténuer le problème en attendant la mise à jour, donc la voie prudente consiste à lancer sudo apt -o Acquire::Retries=0 update puis sudo apt -o Acquire::Retries=0 install --only-upgrade apt.

Deux choses à faire au passage

D'abord, vérifiez que vos sources ne contiennent pas de miroirs ou de proxys tiers inconnus, et utilisez des sources HTTPS quand c'est possible. Ensuite, ce type de risque de chaîne d'approvisionnement, « on installe un paquet et on est empoisonné », n'est pas propre à APT : le ver ChainDrop sur npm en septembre en était une autre forme, présentée dans cet article. Pour choisir une distribution et savoir quelles versions sont encore prises en charge, voir choisir le système d'exploitation de son VPS et le calendrier de support d'Ubuntu 22.04 ; si vous craignez qu'on ait déjà touché à votre serveur, suivez l'enquête sur une compromission.