Debian a publié un avis de sécurité concernant une vulnérabilité de son gestionnaire de paquets APT, qui pourrait permettre à un attaquant de type « man-in-the-middle » d’exécuter du code arbitraire avec les privilèges root. La faille est référencée sous le numéro CVE-2026-109518, bien qu’un rapport complet n’ait pas été rendu public au moment de l’avis décrit ici.
Selon l’avis DSA 6607-1 de Debian, APT peut combiner deux téléchargements de paquets distincts si une redirection HTTP les amène à partager le même URI. Lors de la reprise d’un téléchargement HTTP, une mauvaise gestion des fichiers pourrait permettre à un attaquant de remplacer un paquet après sa vérification, entraînant l’exécution de code en tant que root.
Debian indique que la vulnérabilité est corrigée pour la distribution stable Trixie dans la version 3.0.4 d’APT. La mise à jour corrige également plusieurs problèmes d’accès hors limites, et Debian recommande de mettre à niveau les paquets APT.
Sources: Phoronix.