APT-Lücke in Debian und Ubuntu kann geprüfte Pakete als Root-Code austauschen
Debian- und Ubuntu-Systeme sind seit dem 4. November von einer APT-Schwachstelle betroffen, über die ein Angreifer manipulierte Paketdownloads einschleusen kann. Debian, Ubuntu und die APT-Entwickler veröffentlichten an diesem Tag Advisories zur Schwachstelle CVE-2026-109518.
Nach diesen Advisories kann ein Angreifer ein bereits geprüftes Paket durch ein eigenes ersetzen, wenn er den Download verändern kann. Der eingeschleuste Code läuft laut den Advisories anschließend mit Root-Rechten. Der Angriff setzt voraus, dass APT einen fehlgeschlagenen Download wiederholt; diese Wiederholung ist bei Debian 12 und Ubuntu 22.04 oder neuer standardmäßig aktiviert.
Ubuntu beschreibt die Schwachstelle als hohe Priorität und nennt einen CVSS-4.0-Wert von 7,7. Die APT-Entwickler erklären den Ablauf über HTTP-Weiterleitungen und gewöhnliche temporäre Serverfehler, die den erneuten Download auslösen. Als mögliche Angreifer nennt Ubuntu jeden, der den HTTP-Verkehr zwischen APT und dem Paketserver verändern kann, darunter ein bösartiger Mirror oder Proxy.
Debian hat korrigierte APT-Versionen veröffentlicht. Für Debian 11, dessen Long-Term-Support laut den APT-Entwicklern am 31. August endete, ist Version 2.2.5 verfügbar. Ubuntu veröffentlichte am 4. November korrigierte Builds für Ubuntu 26.10, 26.04 LTS, 24.04 LTS und 22.04: 3.3.3ubuntu0.1, 3.2.1ubuntu0.1, 2.8.4ubuntu0.1 und 2.4.15ubuntu0.1.
Ältere Debian- und Ubuntu-Releases sind laut Ubuntu standardmäßig nicht betroffen, sofern keine Skripte die Einstellung Acquire::Retries aktiviert haben. Ubuntu führte um 15:46 UTC jedoch noch alle acht von der Distribution verfolgten Releases als verwundbar. Die drei Advisories beschreiben keine Angriffe, die die Lücke ausnutzen, und nennen keine Ausweichlösung für Systeme, die noch nicht aktualisiert werden können.