Debian DSA-6607-1: apt-Lücke ließ Angreifer ein geprüftes Paket tauschen und als root laufen
Victoria Shinder1 Min. LesezeitDebian hat am 4. November die Sicherheitsmeldung DSA-6607-1 für apt veröffentlicht, signiert von Salvatore Bonaccorso. Die Lücke CVE-2026-109518 hat Max Justicz entdeckt.
Laut Meldung kann APT zwei verschiedene Paket-Downloads zusammenführen, wenn eine HTTP-Weiterleitung ihnen dieselbe URI gibt. Fehlerhafter Umgang mit der Datei beim Fortsetzen eines HTTP-Downloads erlaubt dann einem Angreifer in der Verbindung, ein Paket nach der Prüfung auszutauschen, was zur Ausführung beliebigen Codes als root führt. Die Signaturprüfung muss dafür nicht gebrochen werden; der Tausch geschieht, nachdem sie bestanden ist.
Für die stabile Distribution trixie ist das Problem in apt 3.0.4 behoben. Dasselbe Update beseitigt mehrere Zugriffe außerhalb von Speichergrenzen. Debian empfiehlt, die apt-Pakete zu aktualisieren, und verweist für andere Releases auf die Tracker-Seite zu apt.
Was das bedeutet
Signaturen schützen, was geprüft wurde, nicht was danach von der Platte gelesen wird. Die Empfehlung der Meldung ist die ganze Maßnahme: apt aktualisieren.