Debian ha pubblicato un avviso di sicurezza relativo a una vulnerabilità nel suo gestore di pacchetti APT, che potrebbe consentire a un aggressore man-in-the-middle di eseguire codice arbitrario con privilegi di root. Il difetto è tracciato come CVE-2026-109518, anche se al momento dell’avviso qui descritto non era ancora stato reso pubblico un rapporto completo.
Secondo il DSA 6607-1 di Debian, APT può combinare due download di pacchetti separati se un reindirizzamento HTTP fa sì che condividano lo stesso URI. Quando si riprende un download HTTP, una gestione impropria dei file potrebbe consentire a un aggressore di sostituire un pacchetto dopo che è stato verificato, portando all’esecuzione di codice come root.
Debian afferma che la vulnerabilità è stata corretta per la distribuzione stabile Trixie nella versione 3.0.4 di APT. L’aggiornamento risolve anche diversi problemi di accesso fuori dai limiti e Debian consiglia di aggiornare i pacchetti APT.
Fonti: Phoronix.