Pada 4 November, Debian (DSA-6607-1) dan Ubuntu (USN-8996-1) membaiki kelemahan dalam pengurus pakej APT itu sendiri, CVE-2026-109518, yang ditemui oleh Max Justicz. Nasihat keselamatan Debian menerangkan bahawa APT boleh menggabungkan dua muat turun pakej yang berbeza apabila ubah hala HTTP memberi kedua-duanya URI yang sama, dan pengendalian fail yang tidak betul ketika menyambung semula muat turun HTTP membolehkan penyerang orang tengah (man-in-the-middle) menukar pakej selepas pengesahan, lalu melaksanakan kod sewenang-wenangnya sebagai root. Ubuntu memberinya skor CVSS v4 7.7.

Siapa yang Terjejas

  • Penyerang mesti boleh mengubah trafik HTTP antara APT dan arkib, dan huraian NVD menyebut secara jelas cermin atau proksi yang berniat jahat. Arkib rasmi Debian dan Ubuntu menggunakan HTTP secara lalai dan bergantung pada tandatangan serta cincangan untuk menghalang pengubahan; kelemahan ini memintas tepat langkah selepas pengesahan.
  • Eksploitasi memerlukan APT mengikut ubah hala dan mencuba semula muat turun, iaitu Acquire::Retries bukan 0. Nilai ini lalai 3 sejak Debian 12 dan Ubuntu 22.04, jadi persediaan lalai pada keluaran tersebut dan seterusnya terjejas; keluaran lebih lama tidak terjejas secara lalai, tetapi jika skrip anda sendiri menetapkan cubaan semula, anda juga memerlukan pembaikan ini.
  • Kemas kini Debian yang sama juga membaiki beberapa isu capaian di luar batas.

Versi yang Dibaiki dan Cara Mengemas Kini

  • Ubuntu: apt 2.4.15ubuntu0.1 pada 22.04, 2.8.4ubuntu0.1 pada 24.04, 3.2.1ubuntu0.1 pada 26.04 dan 3.3.3ubuntu0.1 pada 26.10; 20.04 dan lebih lama menerimanya melalui ESM Ubuntu Pro.
  • Debian: 3.0.4 pada 13 (trixie) dan 2.6.2 pada 12 (bookworm, DLA-4880-1).
  • Semak versi yang dipasang dengan apt-cache policy apt. Mengemas kini apt itu sendiri dilakukan oleh apt yang lama; penyelidik yang memanjangkan nasihat ini ke senarai mel oss-security menyatakan bahawa menetapkan Acquire::Retries kepada 0 mungkin mengurangkan risiko sehingga anda mengemas kini, jadi cara yang berhati-hati ialah sudo apt -o Acquire::Retries=0 update diikuti sudo apt -o Acquire::Retries=0 install --only-upgrade apt.

Dua Perkara yang Wajar Dibuat Sekali

Pertama, semak sumber anda untuk cermin atau proksi pihak ketiga yang tidak dikenali, dan gunakan sumber HTTPS jika boleh. Kedua, risiko rantaian bekalan jenis "pasang pakej, terus diracun" bukan unik kepada APT; cecacing ChainDrop pada npm pada September ialah satu lagi bentuknya, dibincangkan dalam laporan ini. Untuk memilih pengedaran dan mengetahui keluaran yang masih disokong, lihat memilih sistem pengendalian VPS dan garis masa sokongan Ubuntu 22.04; jika anda bimbang seseorang telah mengusik pelayan anda, ikuti siasatan pencerobohan.