Una vulnerabilitat a APT, el gestor de paquets de Debian, permet executar codi com a root interceptant les descàrregues
Un atacant situat entre l'ordinador i el servidor podia substituir un paquet després que APT l'hagués verificat, aprofitant un error en la represa de descàrregues HTTP. Debian ho ha corregit a la versió 3.0.4 de la distribució estable i recomana actualitzar.
Debian ha publicat l'avís de seguretat DSA-6607-1 per corregir una vulnerabilitat a APT, l'eina que instal·la i actualitza el programari a la distribució i a les derivades. La fallada, identificada com a CVE-2026-109518, la va descobrir l'investigador Max Justicz.
El problema sorgeix quan una redirecció HTTP fa que dues descàrregues de paquets diferents acabin amb el mateix URI: APT les pot combinar. A més, el programa gestiona malament els fitxers quan reprèn una descàrrega HTTP interrompuda. Un atacant d'intermediari (man-in-the-middle), capaç de manipular el trànsit entre l'equip i el servidor, pot aprofitar-ho per substituir un paquet després que s'hagi verificat i aconseguir executar codi arbitrari amb privilegis de root.
A la distribució estable, trixie, l'error està corregit a la versió 3.0.4 d'APT. L'actualització també soluciona diversos accessos fora de límits a la memòria. Debian recomana actualitzar els paquets d'APT tan aviat com sigui possible.