Súlyos APT-sebezhetőség: támadók root jogosultsággal telepíthetnek manipulált csomagokat
2026.11.05. 15:23:37
A Canonical biztonsági frissítéseket adott ki a Debian, Ubuntu és ezek származékait érintő CVE-2026-109518 azonosítójú APT-sebezhetőségre. A Max Justicz által felfedezett, 7,7-es CVSS 4.0 pontszámú hiba lehetővé teszi, hogy egy hálózati forgalmat manipulálni képes támadó az APT csomagellenőrzését megkerülve rosszindulatú .deb csomagot telepíttessen, amelynek telepítőszkriptjei root jogosultsággal futnak.A problémát különösen súlyossá teszi, hogy a Debian és az Ubuntu alapértelmezett APT-forráskonfigurációi is HTTP-t használnak a csomagtárolók eléréséhez. Ennek biztonságát hagyományosan nem a HTTPS, hanem az APT kriptográfiai aláírás- és hash-ellenőrzése garantálja. A most felfedezett sérülékenység azonban bizonyos körülmények között éppen ezt a védelmet teszi megkerülhetővé, így az alapértelmezett konfigurációval telepített rendszerek is érintettek lehetnek.A támadás kihasználásához HTTP-n keresztüli csomagletöltés és engedélyezett letöltési újrapróbálkozás szükséges. Utóbbi az Ubuntu 22.04 LTS és a Debian 12 óta alapértelmezett beállítás. A sérülékenység az APT HTTP backendjét érinti, így az apt, apt-get, aptitude és más APT-alapú csomagkezelők is érintettek.A javítások már elérhetők az érintett, támogatott Ubuntu-kiadásokhoz, valamint a Debian 12 és Debian 13 rendszerekhez. A Canonical átmeneti védekezésként HTTPS használatát vagy az Acquire::Retries=0 beállítást javasolja. A végleges megoldás az APT biztonsági frissítésének telepítése.CVE-2026-109518 APT vulnerability fixes availablePackage archive - Ubuntu project documentationChapter 2. Debian package managementCVE-2026-109518 - Debian Security TrackerFixes are available for CVE-2026-109518, a High severity vulnerability in APT, the package manager used in Debian, Ubuntu, and derivative Linux distributions. The CVE has a CVSS 4.0 score of 7.7. Remediation details are available on our blog. https://t.co/x3q5jIeD4J https://t.co/ocIkYASiIQ— Ubuntu (@ubuntu) November 4, 2026(A cikk nyomokban Mesterséges Intelligencia által szolgáltatott adatokat tartalmaz, így a tartalmát érdemes duplán ellenőrizni!)
cikkekrootsebezhetoseg
