Debian i Ubuntu zakrpili APT propust koji može omogućiti izvršavanje koda kao root

Šta se desilo?

Debian i Canonical su 4. novembra 2026. objavili bezbednosna ažuriranja za APT, sistem za upravljanje paketima u Debian-u, Ubuntu-u i njihovim izvedenicama. Propust CVE-2026-109518 može omogućiti zamenu već proverenog paketa i izvršavanje napadačevog koda sa root privilegijama. Otkrio ga je istraživač Max Justicz.

Napadač mora da bude u mogućnosti da menja HTTP saobraćaj između klijenta i servera sa paketima, na primer preko mrežne putanje, zlonamernog mirror servera ili proxy-ja. Za iskorišćavanje su potrebna i preusmeravanja i ponovljeni pokušaji preuzimanja.

Koga pogađa?

Ugrožene su nezakrpljene APT instalacije koje preuzimaju pakete preko HTTP-a i imaju Acquire::Retries podešen na vrednost veću od nule. Takva podrazumevana konfiguracija koristi se od Debian-a 12 i Ubuntu-a 22.04 LTS. Starija izdanja mogu biti izložena ako su ponovljeni pokušaji uključeni ručno ili skriptom.

Problem je u HTTP komponenti APT biblioteke, pa se odnosi i na apt-get, aptitude i grafičke aplikacije koje je koriste. Instalacija snap paketa nije obuhvaćena ovim propustom. Za izvedene distribucije proverite status paketa kod njihovog održavaoca.

Kako se zaštititi?

• Instalirajte bezbednosna ažuriranja za APT i povezane biblioteke iz zvaničnih repozitorijuma svoje distribucije.
• Tokom instaliranja ispravke privremeno isključite ponavljanje preuzimanja postavkom Acquire::Retries=0.
• Koristite HTTPS za repozitorijume koji ga podržavaju. Time smanjujete mogućnost izmene saobraćaja na mrežnoj putanji; za zaštitu od zlonamernog mirror servera primenite zakrpu.
• Proverite instaliranu verziju posle ažuriranja i osvežite slike virtuelnih mašina, kontejnera i automatizovane instalacije koje koristite za nove sisteme.

Tehnički detalji

Canonical ocenjuje ranjivost sa 7,7 po CVSS 4.0, što odgovara visokoj ozbiljnosti. Problem nastaje kada APT posle HTTP preusmeravanja objedini preuzimanja, a pri nastavku pogrešno rukuje čvrstim vezama ka fajlovima (hard links). To omogućava zamenu sadržaja nakon provere, pre instalacije. Instalacione skripte podmetnutog paketa zatim se pokreću kao root.

Objavljene verzije sa ispravkom uključuju:

• Debian 12 (Bookworm): APT 2.6.2.
• Debian 13 (Trixie): APT 3.0.4.
• Ubuntu 22.04 LTS: APT 2.4.15ubuntu0.1.
• Ubuntu 24.04 LTS: APT 2.8.4ubuntu0.1.
• Ubuntu 26.04 LTS: APT 3.2.1ubuntu0.1.
• Ubuntu 26.10: APT 3.3.3ubuntu0.1.

Za starija Ubuntu LTS izdanja dostupne su odgovarajuće ESM ispravke kroz Ubuntu Pro, uz Legacy Support dodatak gde je potreban. Na dan provere, 7. novembra 2026, u pregledanim zvaničnim saopštenjima nije pronađena potvrda iskorišćavanja u stvarnim napadima.

Zašto je važno?

APT je deo lanca poverenja pri instaliranju softvera. Podmetnut paket može dobiti najviša sistemska ovlašćenja, pa je važno proveriti i serverske sisteme i radne stanice, kao i slike iz kojih nastaju nove instalacije.