פגיעות ב-APT, מנהל החבילות של Debian ו-Ubuntu, מאפשרת לתוקף שנמצא בין המכונה לשרת החבילות להחליף חבילה שאומתה בחבילה משלו, ולהריץ קוד עם הרשאות root בזמן ההתקנה. לא דווח על ניצול בפועל.
| מזהה | CVE-2026-109518 |
| מוצר מושפע | APT ב-Debian 12 וב-Ubuntu 22.04 ואילך (שם ניסיון חוזר להורדה פעיל כברירת מחדל); ב-Ubuntu כל שמונה המהדורות במעקב מסומנות כפגיעות |
| חומרה | Ubuntu: 7.7 (CVSS 4.0); מפתחי APT מגדירים אותה "קריטית" |
| מנוצל בפועל | לא דווח |
| סטטוס תיקון | יש תיקונים, למשל 2.4.15ubuntu0.1 ל-Ubuntu 22.04, 2.8.4ubuntu0.1 ל-24.04, 2.2.5 ל-Debian 11 |
מה קרה
הפגם התגלה על ידי Max Justicz. תוקף שמסוגל לשנות תעבורת HTTP בין APT לשרת, למשל מראָה או פרוקסי זדוניים, יכול להשתמש בהפניות ובשגיאות שרת זמניות כדי לגרום ל-APT לנסות שוב להוריד, ובמהלך זה להחליף חבילה מאומתת בחבילה אחרת.
המהדורות הישנות יותר, כמו Debian 11 ו-Ubuntu 20.04, אינן חשופות כברירת מחדל, אבל סקריפטים שהפעילו את ההגדרה Acquire::Retries עלולים לחשוף אותן. המקור לא מבהיר אם הורדה דרך HTTPS חשופה.
נקודות לשים לב
- עדכן את APT לגרסה המתוקנת של ההפצה שלך (
apt update && apt install --only-upgrade apt); זו הדרך היחידה שתוארה, ולא פורסם workaround. - בדוק אם בסקריפטים או בקבצי הגדרה מופיע
Acquire::Retries, גם במערכות ישנות שלא חשופות כברירת מחדל. - סיכון גבוה יותר קיים כשהעדכונים עוברים דרך מראָה או פרוקסי שאינם בשליטתך, או ברשת לא מהימנה. עד העדכון הימנע מהתקנת חבילות בסביבות כאלה.
- גרסאות התיקון לשאר מהדורות Debian לא פורסמו במקור; עיין בהודעת האבטחה של Debian.
מקורות: The Hacker News · Ubuntu Security · Debian Security
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
