Un aggressore che riesca a modificare il traffico tra APT e il server dei pacchetti può sostituire un download verificato con un pacchetto proprio ed eseguire il suo codice come root. Il bug, identificato come CVE-2026-109518, interessa Debian e Ubuntu e richiede che APT riprovi un download non riuscito: questo nuovo tentativo è abilitato per impostazione predefinita da Debian 12 e Ubuntu 22.04.
Gli avvisi di Debian, Ubuntu e degli sviluppatori di APT sono stati pubblicati il 4 novembre, secondo The Hacker News. Debian aveva già distribuito versioni corrette, mentre Ubuntu ha classificato il problema come ad alta priorità e ha pubblicato nuove build per diverse versioni. La differenza tra la disponibilità di questi pacchetti e lo stato ancora riportato dagli avvisi di Ubuntu fa parte di una risposta che era ancora in corso.
Un download che può essere sostituito durante il nuovo tentativo
L'attacco non consiste semplicemente nel fornire un pacchetto falso e aspettare che APT lo accetti. Secondo gli sviluppatori di APT, l'aggressore utilizza reindirizzamenti HTTP e normali errori temporanei del server per costringere il gestore a ripetere il download. Se può alterare il traffico tra APT e il server dei pacchetti, può sfruttare questo processo per sostituire il pacchetto verificato con uno sotto il proprio controllo.
Ubuntu segnala che l'aggressore potrebbe essere chiunque sia in grado di modificare quel traffico, compresi un mirror malevolo o un proxy. Il codice dell'aggressore viene eseguito quando il computer installa un pacchetto. Poiché APT esegue questa operazione con privilegi di root, il risultato può essere l'esecuzione di codice con il livello di autorizzazioni più elevato del sistema.
La vulnerabilità interessa uno strumento centrale in Debian e Ubuntu: APT gestisce l'installazione e l'aggiornamento dei pacchetti in entrambe le distribuzioni. RedesZone avverte che il potenziale impatto comprende anche sistemi derivati e dispositivi che utilizzano APT, dai server ai computer desktop e ai dispositivi embedded. Ubuntu indica inoltre che sono interessate le distribuzioni basate su Debian e Ubuntu, senza però identificarle per nome.
L'impostazione dei nuovi tentativi determina l'esposizione
Il comportamento necessario per l'attacco è abilitato per impostazione predefinita in Debian 12 e versioni successive, e in Ubuntu 22.04 e versioni successive, riferisce The Hacker News. Le versioni precedenti, tra cui Debian 11 e Ubuntu 20.04, non sono esposte per impostazione predefinita, secondo Ubuntu. Tuttavia, gli sviluppatori di APT avvertono che gli script degli utenti potrebbero aver abilitato anche in queste versioni l'opzione di configurazione Acquire::Retries.
Perciò, il riferimento alle versioni precedenti non significa che siano tutte al sicuro con qualsiasi configurazione. La condizione descritta dagli sviluppatori è che APT riprovi un download non riuscito; se uno script ha attivato questa opzione, il comportamento può verificarsi anche sui sistemi precedenti. Le fonti non specificano quali configurazioni abbiano adottato gli utenti né quanti dispositivi siano esposti.
Ubuntu ha assegnato al bug un punteggio CVSS 4.0 di 7,7 e lo ha classificato ad alta priorità. The Hacker News indica che gli sviluppatori di APT lo hanno definito critico. La vulnerabilità, quindi, non riguarda soltanto un'applicazione che elabora dati con normali autorizzazioni: il rischio deriva dal fatto che il codice malevolo può essere eseguito durante l'installazione dei pacchetti, con i privilegi del gestore.
Versioni corrette di Debian e build di Ubuntu
Debian ha pubblicato versioni corrette di APT per CVE-2026-109518. The Hacker News riferisce inoltre che gli sviluppatori di APT hanno distribuito la versione corretta 2.2.5 per Debian 11, il cui periodo di supporto a lungo termine è terminato il 31 agosto. Alle 14:58 UTC del 4 novembre, il ramo di testing di Debian utilizzava ancora la versione vulnerabile 3.3.5.
Ubuntu ha pubblicato nuove build nel proprio archivio di sicurezza alle 14:25 UTC del 4 novembre. Le versioni indicate da The Hacker News sono 3.3.3ubuntu0.1 per Ubuntu 26.10, 3.2.1ubuntu0.1 per Ubuntu 26.04 LTS, 2.8.4ubuntu0.1 per Ubuntu 24.04 LTS e 2.4.15ubuntu0.1 per Ubuntu 22.04 LTS.
La disponibilità delle build non ha comportato un aggiornamento immediato dello stato di tutte le versioni. Alle 15:46 UTC, Ubuntu indicava ancora come vulnerabili le otto versioni monitorate per il bug, da Ubuntu 14.04 LTS fino alla 26.10. La pubblicazione dei pacchetti e l'aggiornamento degli avvisi sono momenti distinti; i dati comunicati da Ubuntu riflettevano questa differenza il 4 novembre.
Per Ubuntu 14.04, gli utenti con un abbonamento Ubuntu Pro potevano già ottenere un aggiornamento, secondo The Hacker News. Gli sviluppatori di APT hanno aggiunto che erano in corso di pubblicazione aggiornamenti per Ubuntu e per il servizio Ubuntu Pro. Queste informazioni non specificano tutte le versioni corrette dei pacchetti per le altre versioni di Ubuntu.
Gli avvisi non concordano sullo stato della correzione
RedesZone, in un articolo pubblicato il 5 novembre, segnalava che non era ancora stato pubblicato un bollettino ufficiale di Debian o Canonical con l'identificativo della vulnerabilità né con la versione corretta di APT. The Hacker News, invece, ha riferito degli avvisi del 4 novembre, dell'identificativo CVE-2026-109518, delle versioni Debian già corrette e delle build di Ubuntu. Ha inoltre riportato che Ubuntu continuava a indicare come vulnerabili le otto versioni monitorate alle 15:46 UTC.
Di fronte a questa discrepanza, i dati specifici sullo stato dei pacchetti sono quelli attribuiti da The Hacker News a Debian, Ubuntu e agli sviluppatori di APT: Debian ha pubblicato le correzioni e Ubuntu ha inserito nuove build nel proprio archivio di sicurezza, sebbene gli avvisi continuassero a indicare versioni vulnerabili al momento riportato. RedesZone consigliava di consultare i bollettini DSA di Debian e USN di Ubuntu e di applicare l'aggiornamento non appena fosse comparso.
RedesZone consigliava inoltre di evitare, finché non fosse disponibile una correzione confermata, gli aggiornamenti di Debian o Ubuntu attraverso reti pubbliche o non affidabili, di mantenere i consueti controlli di integrità dei repository e di non installare pacchetti isolati di un'altra distribuzione per anticipare la patch. Quest'ultima pratica può compromettere le dipendenze e lasciare il sistema in condizioni peggiori, avverte la testata.
Le pubblicazioni consultate non descrivono attacchi che abbiano già sfruttato il bug né propongono una soluzione alternativa per i sistemi che non possono ancora essere aggiornati. Descrivono inoltre l'attacco su HTTP, ma non chiariscono se siano esposte le fonti dei pacchetti raggiunte tramite HTTPS. La raccomandazione di RedesZone è di seguire gli avvisi ufficiali e verificare quale versione corretta sia prevista per ciascuna distribuzione.
Fonti: RedesZone, The Hacker News
