Uma falha no APT, gerenciador de pacotes do Debian e do Ubuntu, permite que um invasor capaz de modificar downloads de pacotes substitua um pacote verificado por outro de sua autoria.
O código do invasor é executado com privilégios de superusuário, segundo comunicados publicados em 4 de novembro pelo projeto Debian, pelo Ubuntu e pelos desenvolvedores do APT. O ataque depende de o APT repetir downloads que falharam. Esse comportamento vem ativado por padrão no Debian 12 e em versões posteriores, assim como no Ubuntu 22.04 e nas seguintes.
O Debian já lançou versões corrigidas do APT para a falha, identificada como
CVE-2026-109518
. Os desenvolvedores do APT classificam o problema como crítico e informam que atualizações para o Ubuntu e para o serviço de assinatura Ubuntu Pro estão sendo disponibilizadas. Usuários do Ubuntu 14.04 com Ubuntu Pro já podem instalar uma correção.
Segundo o Ubuntu, versões mais antigas, como o Debian 11 e o Ubuntu 20.04, não são afetadas por padrão. No entanto, muitos scripts de usuários podem ter ativado a opção de repetição `Acquire::Retries` nessas versões, alertam os desenvolvedores do APT.
Às 14h58 UTC de 4 de novembro, o ramo de testes do Debian ainda usava a versão vulnerável 3.3.5. Para o Debian 11, cujo suporte de longo prazo terminou em 31 de agosto, os desenvolvedores do APT publicaram a versão corrigida 2.2.5.
O Ubuntu classifica a falha como de alta prioridade, com pontuação 7,7 no CVSS 4.0. O projeto também afirma que distribuições baseadas no Debian e no Ubuntu são afetadas, mas não identifica nenhuma delas.
Às 14h25 UTC de 4 de novembro, o Ubuntu publicou novas versões do APT em seu repositório de segurança para quatro de suas edições:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Às 15h46 UTC, o Ubuntu ainda classificava como vulneráveis todas as oito versões monitoradas para essa falha, da 14.04 LTS à 26.10.
Segundo o Ubuntu, o invasor pode ser qualquer pessoa capaz de alterar o tráfego HTTP entre o APT e o servidor de pacotes, incluindo quem controla um espelho malicioso ou um servidor intermediário. O ataque ocorre durante a instalação de um pacote. Os desenvolvedores do APT afirmam que o invasor usa redirecionamentos HTTP e erros temporários comuns do servidor para fazer o APT repetir o download.
Max Justicz reportou a falha. Nenhum dos três comunicados descreve ataques que tenham explorado o problema nem apresenta uma solução temporária para sistemas que ainda não podem ser atualizados. Os textos explicam como o ataque funciona por HTTP, mas não informam se fontes de pacotes acessadas por HTTPS também estão expostas.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...