Проект Debian 4 ноября выпустил обновление безопасности менеджера пакетов APT. Уязвимость, обнаруженная исследователем Максом Джастицем, позволяет злоумышленнику, способному вмешиваться в сетевой обмен, добиться выполнения произвольного кода с правами суперпользователя. Ошибке присвоен идентификатор CVE-2026-109518
Проблема возникает при обработке загрузок по незашифрованному протоколу: перенаправление может привести два разных пакета к одному адресу, после чего менеджер объединяет их загрузки. Из-за неправильной работы с файлами при возобновлении скачивания атакующий получает возможность заменить пакет уже после проверки
В стабильной ветке дистрибутива исправление включено в версию менеджера пакетов 3.0.4. Вместе с ним устранено несколько ошибок обращения к памяти за допустимыми границами. Разработчики рекомендуют обновить установленные пакеты APT; бюллетень не уточняет положение других дистрибутивов
Как безопасно обновить инструмент, если уязвим сам механизм получения обновлений? В бюллетене нет отдельной инструкции для этого случая. Подмена после проверки показывает, почему защита должна охватывать весь путь пакета до установки: успешная проверка ещё не гарантирует сохранности файла на следующих этапах
Первоисточник — Debian
Сообщите редакции. Существенные исправления мы отмечаем в материале