Уязвимость в APT позволяет подменить пакет и получить root-доступ

Исследователь Макс Юстич выявил ошибку в том, как APT обрабатывает повторные загрузки пакетов при HTTP-перенаправлениях. Если злоумышленник контролирует трафик между целевой машиной и сервером репозитория, он может незаметно подменить проверенный файл вредоносным. Проверка цифровой подписи при этом не спасает — она проходит для первоначально загруженного легитимного пакета, а затем APT перезаписывает его скомпрометированным.

Для успешной атаки параметр Acquire::Retries должен быть ненулевым. В актуальных версиях Debian 12 и Ubuntu 22.04 и новее стандартное значение этого параметра равно трём, что делает системы уязвимыми по умолчанию. Более старые выпуски подвержены риску только при ручном изменении конфигурации. Уязвимости присвоен идентификатор CVE-2026-109518, Canonical оценила её опасность в 7,7 балла по шкале CVSS 4.0. Возможность получения root-прав рассматривается как потенциальная угроза.

Проблема проявляется при работе с репозиториями по HTTP и затрагивает все основные интерфейсы управления пакетами: apt, apt-get, aptitude и графические приложения Ubuntu. Snap-пакеты механизм атаки не затрагивает. Canonical выпустила обновления 4 ноября 2026 года для Ubuntu 22.04, 24.04, 26.04 и 26.10. Для более старых версий Ubuntu патчи доступны через подписку Ubuntu Pro. Debian исправил ошибку в APT версий 2.6.2 для «Bookworm» и 3.0.4 для «Trixie».

Подмена пакетов в инфраструктуре на Linux

Российские компании активно используют Debian и Ubuntu на серверах, в облачных окружениях и на рабочих местах разработчиков и администраторов. Во многих организациях для ускорения работы и снижения нагрузки на каналы развёрнуты локальные зеркала репозиториев, которые часто синхронизируются по HTTP. Злоумышленник, получивший доступ к сегменту сети между клиентами и таким зеркалом, может перехватить трафик и навязать вредоносное обновление внешне легитимному пакету. Особую опасность представляет сценарий, при котором подменяется критически важный компонент вроде ядра или системной библиотеки, что после перезагрузки даст атакующему полный контроль над узлом.

Как защититься до и после обновления APT

До установки официальных патчей разработчики рекомендуют временно отключить повторные попытки загрузки, выставив параметр Acquire::Retries в ноль. Для безопасного обновления стоит выполнять команду `sudo apt update && sudo apt upgrade -o Acquire::Retries=0`. После обновления необходимо проверить, что установлена исправленная версия APT. В качестве дополнительной меры защиты репозитории стоит перевести на HTTPS — это усложнит подмену трафика, даже если злоумышленник находится в том же сетевом сегменте, но не защитит от вредоносного зеркала. Патчи следует получать только из официальных источников Debian и Ubuntu.