APT può installare un pacchetto che non ha verificato

APT, il programma con cui Debian e Ubuntu scaricano e installano software, ha una falla che può far arrivare sul computer un pacchetto controllato da un aggressore, senza la verifica prevista. L’esito può essere l’esecuzione di codice con privilegi di amministratore. Il problema, CVE-2026-109518, è stato reso pubblico il 4 novembre e ha già correzioni per entrambe le distribuzioni.

Il difetto riguarda gli hard link, nomi diversi che rimandano allo stesso file sul disco. APT li gestisce male quando un download viene reindirizzato e poi ritentato: questo riuso consente di far installare un pacchetto non verificato. I controlli crittografici non sono stati violati; è il modo in cui il programma tratta i file durante il download ad aggirarli.

Per sfruttarlo bisogna poter manipolare il traffico HTTP fra il computer e l’archivio dei pacchetti, per esempio controllando un mirror o un proxy sul percorso. Servono anche reindirizzamenti e tentativi ripetuti: l’impostazione Acquire::Retries deve essere diversa da zero. Il valore predefinito è 3 da Debian 12 e Ubuntu 22.04; le versioni precedenti non sono esposte con la configurazione predefinita.

Debian indica come corrette APT 2.6.2 per Bookworm e 3.0.4 per Trixie. Ubuntu ha pubblicato l’avviso USN-8996-1: fra le versioni corrette ci sono 2.8.4ubuntu0.1 per Ubuntu 24.04 e 2.4.15ubuntu0.1 per 22.04. La correzione arriva con un normale aggiornamento del sistema e riguarda il gestore dei pacchetti stesso.