Оновлення безпеки Debian APT виправляє CVE-2026-109518 у trixie
Debian опублікувала DSA-6607-1 для apt щодо CVE-2026-109518. Атакувальник типу man-in-the-middle міг замінити перевірений пакет після HTTP-перенаправлення й виконати код від імені root. Стабільний випуск trixie виправлено в apt 3.0.4.
Debian опублікувала рекомендацію з безпеки DSA-6607-1 для менеджера пакетів apt, що стосується CVE-2026-109518. Max Justicz виявив, що APT може об'єднувати два різні завантаження пакетів після того, як HTTP-перенаправлення надає їм однаковий URI. Неналежне оброблення файлів під час відновлення HTTP-завантаження може дозволити зловмиснику типу man-in-the-middle замінити пакет після перевірки й виконати довільний код від імені root.
Виправлення та уражені випуски
Для стабільного дистрибутива під назвою trixie проблему виправлено в apt версії 3.0.4. За даними трекера безпеки, проблему виправлено також у bookworm, в apt 2.6.2, через LTS-рекомендацію DLA-4880-1, і в нестабільній гілці sid, у версії 3.3.6. Гілка forky з версією 3.3.5 досі позначена як уразлива. Оновлення також усуває кілька проблем доступу за межами допустимого діапазону.
Рекомендована дія
Debian рекомендує користувачам оновити свої пакети apt. Рекомендація також посилається на сторінку трекера безпеки apt для детального стану безпеки та на ресурси безпеки Debian для докладнішої інформації про рекомендації, застосування оновлень і часті запитання.
Джерела: Debian
SiTech — веброзробка з підтримкою AI
Створюємо швидкі та сучасні сайти й інтегруємо AI у бізнес-процеси. Маєте проєкт чи запитання? Із задоволенням допоможемо.