Chyba v APT umožňuje útok MitM s kódom spusteným ako root
Zraniteľnosť CVE-2026-109518 v správcovi balíkov APT môže pri sťahovaní cez HTTP umožniť útočníkovi podvrhnúť balík a spustiť kód s právami root. Opravy už zverejnili Debian aj Ubuntu.
Zraniteľnosť APT CVE-2026-109518 môže za určitých okolností umožniť útočníkovi podvrhnúť balík pri jeho sťahovaní cez HTTP a následne spustiť ľubovoľný kód s právami root. Informácie o zraniteľnosti 4. novembra zverejnili Debian, Ubuntu aj vývojári APT. Útok vyžaduje, aby útočník dokázal meniť prenos medzi klientom a archívom, napríklad z pozície človeka v strede komunikácie (MitM), cez škodlivé zrkadlo alebo proxy.
Chyba dostala označenie CVE-2026-109518. Ubuntu ju hodnotí ako High a uvádza skóre CVSS v4 7,7. V dostupných oficiálnych oznámeniach sa nenachádza potvrdený prípad aktívneho zneužitia.
Ako funguje zraniteľnosť APT CVE-2026-109518
Problém sa týka sťahovania balíkov prostredníctvom HTTP. Podľa podkladov APT môže útočník kombináciou presmerovaní a opakovaných sťahovaní nahradiť očakávaný balík vlastným obsahom. Ak používateľ alebo automatizovaný proces takýto balík nainštaluje, výsledkom môže byť vykonanie útočníkovho kódu s najvyššími systémovými oprávneniami.
Na úspešný scenár musí byť nastavenie Acquire::Retries nenulové. Hodnota 3 je predvolená v Debiane 12 a Ubuntu 22.04 LTS. Staršie vydania preto pri predvolenej konfigurácii nie sú týmto konkrétnym problémom zasiahnuté.
Oficiálne technické oznámenie opisuje postup využívajúci presmerovania, prechodné chyby HTTP a hardlinky. Podklady však výslovne hovoria o HTTP prevádzke. Nemožno z nich vyvodiť, že rovnaký mechanizmus funguje aj pri zdrojoch dostupných výhradne cez HTTPS.
Opravy pre Debian a Ubuntu
Debian vydal opravu pre stabilné vydanie Trixie vo verzii balíka apt 3.0.4. Bezpečnostný tracker Debianu zároveň uvádza opravenú verziu 2.6.2 pre Debian 12 Bookworm.
Ubuntu uvádza opravené balíky pre vydania 22.04, 24.04, 26.04 a 26.10. Pre staršie podporované vydania sú aktualizácie podľa Ubuntu dostupné cez Ubuntu Pro.
Správcovia systémov by mali overiť dostupnosť aktualizácie APT vo svojich používaných repozitároch a nainštalovať ju štandardným aktualizačným postupom svojej distribúcie. Dôležité je tiež skontrolovať stroje, ktoré používajú HTTP zdroje balíkov a majú nenulovú hodnotu Acquire::Retries.
Riziko pre odvodené distribúcie
APT má v systémoch Debian a Ubuntu privilegované postavenie, keďže spracúva a inštaluje systémové balíky. Zlyhanie v tomto procese môže pri splnení podmienok obísť očakávanú ochranu podpisov a skončiť spustením škodlivého kódu ako root.
Nie je potvrdené, ktoré odvodené distribúcie Debianu a Ubuntu už vydali vlastné aktualizácie. Používatelia takýchto systémov by mali sledovať bezpečnostné kanály svojho dodávateľa a overiť verziu nainštalovaného APT balíka.
Ďalší vývoj bude závisieť najmä od dostupnosti opráv vo všetkých repozitároch a odvodených distribúciách, prípadných správ o zneužití vo voľnej prírode a doplňujúcich odporúčaní pre systémy, ktoré APT zatiaľ nemôžu aktualizovať.
Zdroje
- Debian Security Advisory DSA-6607-1 – Potvrdzuje CVE, mechanizmus chyby, možnosť vzdialeného spustenia kódu ako root a opravu pre Debian Trixie vo verzii 3.0.4.
- Ubuntu CVE-2026-109518 – Potvrdzuje podmienky útoku, predvolené Acquire::Retries od Debianu 12 a Ubuntu 22.04, CVSS 7,7 a stav opráv pre vydania Ubuntu.
- APT-2026-11-01 security update – Popisuje technický postup cez presmerovania, prechodné HTTP chyby a hardlinky; uvádza vydané opravené vetvy APT.
- Debian Security Tracker – CVE-2026-109518 – Potvrdzuje rozsah zasiahnutých distribúcií a opravenú verziu 2.6.2 pre Debian 12 Bookworm.
Overené a aktualizované: 05. 11. 2026 06:26
