Im Paketmanager APT wurde eine schwerwiegende Sicherheitslücke entdeckt, über die Angreifer unter bestimmten Voraussetzungen Schadcode mit Root-Rechten ausführen können. Debian hat am 4. November eine Sicherheitswarnung veröffentlicht und korrigierte Pakete bereitgestellt. Auch die neue Entwicklerversion APT 3.3.6 schließt die Schwachstelle.
Die unter CVE-2026-109518 geführte Lücke betrifft die Verarbeitung von Paketdownloads über HTTP. APT kann unter bestimmten Umständen zwei unterschiedliche Downloads zusammenführen, wenn diese nach einer HTTP-Weiterleitung dieselbe Adresse verwenden. Ein Fehler beim Fortsetzen unterbrochener Downloads ermöglicht es einem Angreifer, ein bereits überprüftes Paket nachträglich durch manipulierte Inhalte zu ersetzen.
Signaturprüfung lässt sich umgehen
Besonders kritisch ist, dass der Angriff die Sicherheitsmechanismen von APT umgehen kann. Normalerweise schützt der Paketmanager die Integrität heruntergeladener Software durch kryptografisch abgesicherte Paketinformationen. In diesem Fall setzt der Angriff jedoch nach der Überprüfung an. Ein Angreifer, der den HTTP-Datenverkehr manipulieren kann, könnte dadurch eigenen Code einschleusen, der bei der Paketinstallation mit Root-Rechten ausgeführt wird.
Voraussetzung ist ein Man-in-the-Middle-Angriff, bei dem der Angreifer den Netzwerkverkehr zwischen dem betroffenen System und dem Paketserver beeinflussen kann. Ein Angriff allein durch den Aufruf einer manipulierten Webseite ist damit nicht möglich.
Sicherheitsupdate für Debian 13
Für Debian 13 »Trixie« wurde die Schwachstelle mit APT 3.0.4 behoben. Das Update beseitigt außerdem mehrere Fehler, die zu Speicherzugriffen außerhalb der vorgesehenen Grenzen führen können. Debian empfiehlt ausdrücklich, die aktualisierten Pakete zeitnah einzuspielen.
Parallel dazu wurde APT 3.3.6 für Debian Unstable veröffentlicht. Diese Version verhindert den beschriebenen Angriff durch eine geänderte Handhabung der Zieldateien beim Download. Darüber hinaus wurden zwei weitere potenzielle Speicherzugriffsfehler im Paketparser und im Abhängigkeitslöser korrigiert. Zusätzliche Tests sollen die Zuverlässigkeit der Paketverwaltung verbessern.
Auch andere Debian-basierte Distributionen wie Ubuntu, Linux Mint und weitere Derivate sind von der Lücke betroffen. Anwender dieser Distributionen richten sich nach den Anweisungen ihrer Distribution.