Debian-ის APT-ის უსაფრთხოების განახლებამ trixie-ში გამოასწორა CVE-2026-109518

Debian-მა apt-ის პაკეტების მენეჯერისთვის გამოაქვეყნა უსაფრთხოების ბიულეტენი DSA-6607-1, რომელიც ეხება CVE-2026-109518-ს. Max Justicz-მა აღმოაჩინა, რომ APT-ს შეუძლია ორი განსხვავებული პაკეტის ჩამოტვირთვის გაერთიანება მას შემდეგ, რაც HTTP გადამისამართების შედეგად მათ ერთი და იგივე URI მიენიჭებათ. HTTP ჩამოტვირთვის გაგრძელებისას ფაილების არასწორი დამუშავება შუამავალ თავდამსხმელს აძლევს საშუალებას, შემოწმების შემდეგ შეცვალოს პაკეტი და root-ის უფლებებით თვითნებური კოდი გაუშვას.

გამოსწორება და დაზარალებული გამოშვებები

სტაბილურ დისტრიბუციაში, სახელწოდებით trixie, პრობლემა გამოსწორებულია apt-ის 3.0.4 ვერსიაში. უსაფრთხოების ტრეკერის მიხედვით, პრობლემა გამოსწორებულია bookworm-შიც, apt 2.6.2-ში, DLA-4880-1 ბიულეტენით, და არასტაბილურ განყოფილებაში, sid-ში, 3.3.6 ვერსიაში. forky-ში 3.3.5 ჯერ კიდევ დაუცველია. განახლება ასევე ასწორებს საზღვრებს გარეთ წვდომის რამდენიმე პრობლემას.

რეკომენდებული ქმედებები

Debian-მა მომხმარებლებს apt-ის პაკეტების განახლება ურჩია. ბიულეტენში ასევე მოცემულია ბმულები: apt-ის უსაფრთხოების ტრეკერის გვერდი, სადაც უსაფრთხოების დეტალური სტატუსი ჩანს, და Debian-ის უსაფრთხოების რესურსები, სადაც ბიულეტენების, განახლებების გამოყენებისა და ხშირად დასმული კითხვების შესახებ დამატებითი ინფორმაციაა.

წყაროები: Debian