Debian og Ubuntu retter APT-fejl, der kan give angribere fuld adgang

Debian og Ubuntu har den 4. november udsendt sikkerhedsopdateringer til APT, det værktøj der henter og installerer programpakker på de to Linux-systemer. Fejlen kan lade en angriber erstatte en allerede kontrolleret pakke og få sin egen kode kørt med systemets højeste rettigheder. For danske virksomheder og private med berørte installationer er den konkrete opgave at få selve pakkehåndteringen opdateret.

Sårbarheden har betegnelsen CVE-2026-109518 og blev fundet af Max Justicz. Den kræver bestemte forhold under hentningen af en pakke. Der er derfor ikke tale om, at enhver Debian- eller Ubuntu-maskine kan overtages direkte fra internettet alene ved at være tændt.

Kontrollen kan omgås efter hentningen

Debians sikkerhedsmeddelelse forklarer, at APT kan slå to pakkehentninger sammen, når en HTTP-omdirigering giver dem samme adresse. Forkert filhåndtering, når en hentning genoptages, gør det muligt at erstatte en pakke efter kontrollen.

Det afgørende er, at installationen af en .deb-pakke kan køre programmer med root-rettigheder. Det er administratorniveauet på systemet. En fejl i denne kæde kan derfor få langt større konsekvenser end en almindelig afbrudt download: angriberens indhold kan blive installeret med de rettigheder, som normalt bruges til at vedligeholde hele maskinen.

APT-udviklerne beskriver kombinationen af omdirigeringer, midlertidige HTTP-serverfejl og nye downloadforsøg som udgangspunktet for problemet. Det er ikke dokumentation for, at distributionsprojekternes officielle servere er blevet kompromitteret.

Angriberen skal kunne påvirke trafikken

Udnyttelsen kræver en angriber på forbindelsen mellem APT-klienten og pakkeserveren. Debians sikkerhedssporing nævner også en ondsindet pakkeserver eller proxy. Det er væsentligt for risikovurderingen: fejlen er knyttet til softwarehentningen og ikke til et almindeligt besøg på en hjemmeside.

Desuden skal APT være indstillet til at gentage mislykkede hentninger. Indstillingen hedder Acquire::Retries og må være forskellig fra nul. Standardværdien blev ændret fra Debian 12 og Ubuntu 22.04 LTS. Ældre udgaver kan dog være berørte, hvis administratorer eller scripts har slået gentagelser til.

APT-udviklerne kalder fejlen kritisk. Ubuntu klassificerer den som høj med en CVSS 4.0-score på 7,7. De forskellige betegnelser ændrer ikke den beskrevne konsekvens, men understreger, at en alvorlighedsbetegnelse skal læses sammen med angrebets forudsætninger.

Versionsnummeret skal passe til systemet

Debians aktuelle sikkerhedssporing angiver APT 2.6.2 som rettelsen til Debian 12, bookworm, og 3.0.4 til Debian 13, trixie. Den ustabile gren har rettelsen i 3.3.6. Administratorer skal sammenligne med den relevante distributionsgren frem for blot at lede efter det højeste tal.

Ubuntus sikkerhedsmeddelelse USN-8996-1 angiver blandt andet 2.4.15ubuntu0.1 til 22.04 LTS, 2.8.4ubuntu0.1 til 24.04 LTS, 3.2.1ubuntu0.1 til 26.04 LTS og 3.3.3ubuntu0.1 til 26.10. Den lister også rettelser til ældre udgaver gennem Ubuntu Pro, i nogle tilfælde med ekstra ældre-support.

En rettelse i en versionsserie er dermed ikke det samme som en tilgængelig standardopdatering til alle gamle installationer. Supportordningen og den konkrete pakkekilde har betydning. Den installerede version bør kontrolleres efter opdateringen.

HTTPS hjælper, men erstatter ikke rettelsen

Canonical forklarer, at HTTPS beskytter mod denne angrebsvej, når problemet er manipulation under transporten. Det er en vigtig præcisering i forhold til de første korte advarsler. En ondsindet pakkeserver er en anden situation; kryptering af forbindelsen gør ikke selve serveren troværdig.

Ubuntu anbefaler fortsat sikkerhedsopdateringen. Leverandøren beskriver også, hvordan gentagne hentninger midlertidigt kan slås fra under installationen med indstillingen Acquire::Retries=0. Det begrænser netop den mekanisme, fejlen kræver.

Problemet ligger i APT’s HTTP-håndtering og kan berøre både kommandolinjeværktøjer og grafiske programmer, der bruger APT. Canonical oplyser, at installation via Snap ikke er berørt af denne fejl, fordi den bruger et andet pakkesystem.

Danske installationer skal vurderes konkret

For en dansk driftsansvarlig er nationaliteten ikke det afgørende. Det er distribution, installeret APT-version, hentemetode og lokale indstillinger. De offentliggjorte meddelelser indeholder ikke et antal berørte danske maskiner eller oplysninger om konkrete danske ofre.

De gennemgåede sikkerhedsmeddelelser beskriver heller ikke bekræftet udnyttelse i angreb. Det begrænser, hvad der kan siges om hændelser, men fjerner ikke den dokumenterede sårbarhed. Det bekræftede resultat er, at rettelserne findes. Næste skridt er at anvende den relevante distributions opdatering og kontrollere, at den rettede pakke faktisk er installeret.