Una vulnerabilidad en APT, el gestor de paquetes que utilizan Debian y Ubuntu, permite a un atacante capaz de manipular la descarga de paquetes reemplazar un paquete previamente validado por otro bajo su control. El código introducido de esa forma se ejecuta con privilegios de root, de acuerdo con los avisos difundidos el 4 de noviembre por Debian, Ubuntu y los desarrolladores de APT. Para que el ataque tenga éxito, APT debe reintentar descargas fallidas, una función que viene activada por defecto desde Debian 12 y Ubuntu 22.04 en adelante.
Debian ya publicó versiones corregidas de APT para el fallo, identificado como CVE-2026-109518. Los responsables de APT, que califican la vulnerabilidad como crítica, indican que las actualizaciones para Ubuntu y para su servicio de suscripción Ubuntu Pro están en proceso de distribución. Los usuarios de Ubuntu 14.04 con Ubuntu Pro ya pueden obtener una.
Las versiones más antiguas, como Debian 11 y Ubuntu 20.04, no están expuestas de forma predeterminada según Ubuntu, aunque los desarrolladores de APT advierten de que muchos scripts de usuario podrían haber habilitado la opción de reintento, Acquire::Retries, en esas versiones.
La rama de pruebas de Debian seguía usando la versión vulnerable 3.3.5 a las 14:58 UTC del 4 de noviembre. Para Debian 11, cuyo soporte a largo plazo finalizó el 31 de agosto, los desarrolladores de APT han publicado una versión corregida, la 2.2.5.
Ubuntu clasifica el fallo como de prioridad alta, con una puntuación CVSS 4.0 de 7.7, y afirma que también están afectadas las distribuciones construidas sobre Debian y Ubuntu, sin especificar ninguna. El 4 de noviembre a las 14:25 UTC, Ubuntu publicó nuevas compilaciones de APT en su archivo de seguridad para cuatro de sus versiones:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
A las 15:46 UTC, Ubuntu seguía marcando como vulnerables las ocho versiones que vigila por este fallo, desde la 14.04 LTS hasta la 26.10.
Según Ubuntu, el atacante puede ser cualquiera que logre modificar el tráfico HTTP entre APT y el servidor de paquetes, incluido un espejo o un proxy malicioso. El ataque se ejecuta cuando el equipo instala un paquete. Los desarrolladores de APT explican que el atacante emplea redirecciones HTTP y errores temporales habituales del servidor para forzar a APT a reintentar la descarga.
Max Justicz informó del fallo. Ninguno de los tres avisos describe ataques que hayan explotado la vulnerabilidad ni ofrece un método alternativo para sistemas que aún no puedan actualizarse. Los informes describen el ataque a través de HTTP y no aclaran si las fuentes de paquetes consultadas mediante HTTPS están expuestas.
Deja una respuesta