Debian hat eine Sicherheitswarnung zu einer Schwachstelle in seinem Paketmanager APT veröffentlicht, die es einem Man-in-the-Middle-Angreifer ermöglichen könnte, beliebigen Code mit Root-Rechten auszuführen. Die Schwachstelle wird als CVE-2026-109518 geführt, obwohl zum Zeitpunkt der hier beschriebenen Warnung noch kein vollständiger Bericht öffentlich gemacht worden war.
Laut Debians DSA 6607-1 kann APT zwei separate Paket-Downloads zusammenführen, wenn eine HTTP-Umleitung dazu führt, dass sie dieselbe URI verwenden. Beim Fortsetzen eines HTTP-Downloads könnte eine unsachgemäße Dateiverarbeitung einem Angreifer ermöglichen, ein Paket nach seiner Überprüfung auszutauschen, was zur Ausführung von Code als Root führen kann.
Debian zufolge ist die Schwachstelle für die stabile Distribution Trixie in APT-Version 3.0.4 behoben. Das Update behebt außerdem mehrere Probleme mit Zugriffen außerhalb des zulässigen Speicherbereichs, und Debian empfiehlt, die APT-Pakete zu aktualisieren.
Quellen: Phoronix.