APT pažeidžiamumas CVE-2026-109518 leidžia gauti root teises Debian ir Ubuntu sistemose
Debian, Ubuntu ir jų pagrindu sukurtose sistemose aptiktas APT paketų tvarkyklės pažeidžiamumas CVE-2026-109518. Jam skirta 7,7 balo įvertinimas pagal CVSS 4.0 skalę.
Pažeidžiamumas leidžia užpuolikui perimti HTTP srautą pakartotinio paketo atsisiuntimo metu ir įdiegti užpuoliko valdomą, nepatikrintą paketą. Dėl to galima vykdyti savavališką kodą su root teisėmis.
Skelbiama, kad problema paveikia Debian, Ubuntu ir išvestines Linux distribucijas. Ji susijusi su paketo atsisiuntimo pakartojimu ir peradresavimais, o išnaudojimui reikalinga nenulinė Acquire::Retries nuostata.
Pataisytų versijų sąraše nurodomos Debian bookworm APT 2.6.2, Debian trixie APT 3.0.4, Ubuntu 22.04 APT 2.4.15ubuntu0.1 ir Ubuntu 24.04 APT 2.8.4ubuntu0.1 versijos.
Taip pat paskelbtos saugaus atnaujinimo komandos.
