עדכון אבטחה ל-APT של דביאן מתקן CVE-2026-109518 ב-trixie

דביאן פרסמה עלון אבטחה DSA-6607-1 עבור מנהל החבילות apt, הכולל את CVE-2026-109518. Max Justicz גילה ש-APT יכול למזג שני הורדות חבילות שונות לאחר שהפניה HTTP נותנת להן את אותו URI. טיפול לא תקין בקבצים בעת חידוש הורדה HTTP מאפשר לתוקף בתווך להחליף חבילה לאחר אימות ולהריץ קוד שרירותי כ-root.

תיקון ומהדורות מושפעות

במהדורה היציבה, בשם trixie, הבעיה תוקנה ב-apt גרסה 3.0.4. לפי דף מעקב האבטחה של דביאן, הבעיה תוקנה גם ב-bookworm, בגרסה 2.6.2, באמצעות עלון ה-LTS DLA-4880-1, ובענף הלא יציב sid, בגרסה 3.3.6. הענף forky, בגרסה 3.3.5, עדיין מסומן כפגיע. העדכון מטפל גם בכמה בעיות גישה מחוץ לגבולות.

פעולה מומלצת

דביאן ממליצה למשתמשים לשדרג את חבילות apt שלהם. העלון מפנה גם לדף מעקב האבטחה של apt למידע מפורט על מצב האבטחה, ולמשאבי האבטחה של דביאן למידע נוסף על עלונים, החלת עדכונים ושאלות נפוצות.

מקורות: Debian