Ubuntu dicht APT-kwetsbaarheid waardoor aanvaller root kan worden

In dit artikel:

Ubuntu heeft beveiligingsupdates uitgebracht voor een kwetsbaarheid in de APT-package manager, waarmee een aanvaller via een man-in-the-middle-aanval rootrechten op een systeem kan verkrijgen. Eerder bracht ook Debian patches uit. APT wordt gebruikt om software te installeren en verwijderen. Door HTTP-verkeer tussen een kwetsbare computer en de server met softwarepakketten te manipuleren, kan een aanvaller een legitiem .deb-bestand vervangen door een kwaadaardige versie.

Misbruik van CVE-2026-109518 is alleen mogelijk als APT een mislukte download opnieuw probeert. Vanaf Ubuntu 22.04 LTS en in nieuwere releases gebeurt dat standaard niet, waardoor deze versies volgens Ubuntu niet kwetsbaar zijn. Ook HTTPS voorkomt de aanval, omdat daarvoor manipulatie van onversleuteld HTTP-verkeer nodig is. De kwetsbaarheid kan bovendien de digitale handtekeningcontrole omzeilen, waardoor APT het kwaadaardige pakket toch installeert. De scripts daarin draaien met rootrechten en kunnen een systeem volledig compromitteren.