Lỗ hổng APT trên Debian và Ubuntu cho phép kẻ tấn công MitM tráo gói đã xác minh và chạy mã với quyền root

Debian, Ubuntu và nhóm phát triển APT đã công bố khuyến cáo vào ngày 4/11 về một lỗ hổng trong APT — trình quản lý gói của Debian và Ubuntu. Lỗ hổng cho phép kẻ tấn công có khả năng sửa nội dung tải gói tráo một gói đã được kiểm tra bằng gói của chính họ, sau đó mã độc chạy với quyền root. Lỗ hổng được gán mã CVE-2026-109518 và nhóm phát triển APT đánh giá là nghiêm trọng.

Điều kiện khai thác

Cuộc tấn công cần APT thử tải lại khi tải thất bại, cơ chế bật mặc định từ Debian 12 và Ubuntu 22.04 trở đi. Kẻ tấn công có thể là bất kỳ ai sửa được lưu lượng HTTP giữa APT và máy chủ gói, gồm mirror hoặc proxy độc hại. Theo nhóm phát triển APT, kẻ tấn công dùng chuyển hướng HTTP và lỗi máy chủ tạm thời thông thường để buộc APT tải lại, và mã độc được kích hoạt khi máy cài đặt gói.

Mức độ ảnh hưởng

Các bản phát hành cũ như Debian 11 và Ubuntu 20.04 không bị ảnh hưởng mặc định, nhưng nhiều script của người dùng có thể đã bật tùy chọn thử lại Acquire::Retries trên các bản này. Ubuntu xếp lỗ hổng ở mức ưu tiên cao với điểm CVSS 4.0 là 7.7, đồng thời cho biết các bản phân phối xây dựng trên Debian và Ubuntu cũng bị ảnh hưởng nhưng không nêu tên cụ thể.

Bản vá và tình trạng hiện tại

Debian đã phát hành phiên bản APT đã sửa lỗi. Với Debian 11 — bản có hỗ trợ dài hạn kết thúc ngày 31/8 — nhóm phát triển APT đã công bố bản vá 2.2.5. Ubuntu cho biết bản cập nhật cho Ubuntu và dịch vụ đăng ký Ubuntu Pro đang được phát hành; người dùng Ubuntu 14.04 có Ubuntu Pro đã có thể nhận bản vá.

Ubuntu đã đưa các bản APT mới lên kho bảo mật cho bốn bản phát hành:

• Ubuntu 26.10: 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1

Tuy nhiên, đến 15:46 UTC cùng ngày, Ubuntu vẫn đánh dấu cả tám bản phát hành đang theo dõi, từ 14.04 LTS đến 26.10, là còn dính lỗ hổng. Nhánh testing của Debian vẫn ở phiên bản dễ bị tấn công 3.3.5 vào lúc 14:58 UTC ngày 4/11.

Chưa có bằng chứng khai thác

Max Justicz là người báo cáo lỗ hổng. Cả ba khuyến cáo đều không mô tả cuộc tấn công nào đã khai thác lỗ hổng, cũng không đưa ra cách xử lý tạm thời cho hệ thống chưa thể cập nhật. Các khuyến cáo mô tả cuộc tấn công qua HTTP và không nêu liệu nguồn gói truy cập qua HTTPS có bị ảnh hưởng hay không.

Nguồn: The Hacker News