Der Paketmanager von Debian und Ubuntu prüft Signaturen, und genau darauf verlassen sich Serverbetreiber weltweit. Eine am 4. November veröffentlichte Lücke in APT zeigt, dass diese Prüfung ausgehebelt werden kann: Ein Angreifer im Netzwerkpfad tauscht ein bereits geprüftes Paket aus, sein Code läuft anschließend als root.
Die Schwachstelle trägt die Kennung CVE-2026-109518. Entdeckt hat sie der Sicherheitsforscher Max Justicz. Debian, Ubuntu und die APT-Entwickler haben am 4. November 2026 eigene Advisories veröffentlicht. Die APT-Entwickler stufen die Lücke laut The Hacker News als kritisch ein. Ubuntu vergibt die Priorität „High“ und einen CVSS-4.0-Wert von 7,7.
Was belegt ist
Debian beschreibt das Problem im Advisory DSA-6607-1 so, wie Phoronix es zitiert: APT kann zwei verschiedene Paket-Downloads zusammenführen, wenn eine HTTP-Weiterleitung ihnen dieselbe Adresse gibt. Durch fehlerhafte Dateibehandlung beim Fortsetzen eines HTTP-Downloads kann ein Man-in-the-Middle-Angreifer ein Paket nach der Prüfung ersetzen. Das Ergebnis ist die Ausführung beliebigen Codes mit root-Rechten.
Ubuntu nennt in seinem Sicherheitseintrag als Ursache die Wiederverwendung von Hardlinks. Angreifen kann demnach jeder, der den HTTP-Verkehr zwischen APT und dem Paketserver verändern kann, ausdrücklich auch ein bösartiger Spiegelserver oder Proxy. Ausgelöst wird der Angriff, wenn der Rechner ein Paket installiert.
Voraussetzung ist, dass APT Weiterleitungen folgt und fehlgeschlagene Downloads erneut versucht. Dafür muss die Einstellung Acquire::Retries größer als null sein. Seit Debian 12 „Bookworm“ und Ubuntu 22.04 LTS steht sie standardmäßig auf 3. Ältere Versionen wie Debian 11 und Ubuntu 20.04 sind in der Standardkonfiguration nicht betroffen. Die APT-Entwickler warnen allerdings, dass viele Skripte die Wiederholungen auch dort eingeschaltet haben.
Welche Versionen den Fix enthalten
Laut Debian-Security-Tracker ist die Lücke in folgenden APT-Versionen geschlossen:
- Debian 13 „Trixie“: 3.0.4 (DSA-6607-1, behebt zusätzlich mehrere Out-of-Bounds-Fehler)
- Debian 12 „Bookworm“: 2.6.2 (DLA-4880-1)
- Debian Unstable „Sid“: 3.3.6
Der Testing-Zweig „Forky“ steht im Tracker noch mit der verwundbaren Version 3.3.5. Für Debian 11, dessen Langzeitunterstützung am 31. August endete, haben die APT-Entwickler laut The Hacker News eine korrigierte Version 2.2.5 veröffentlicht.
Ubuntu hat am 4. November neue APT-Builds in sein Security-Archiv gestellt, wie The Hacker News berichtet: 3.3.3ubuntu0.1 für 26.10, 3.2.1ubuntu0.1 für 26.04 LTS, 2.8.4ubuntu0.1 für 24.04 LTS und 2.4.15ubuntu0.1 für 22.04 LTS. Die CVE-Seite von Ubuntu führte am Abend trotzdem noch alle acht beobachteten Releases von 14.04 bis 26.10 als verwundbar. Laut Ubuntu sind auch Distributionen betroffen, die auf Debian oder Ubuntu aufbauen. Namen nennt das Unternehmen nicht.
Der harte Punkt ist die Annahme hinter HTTP
Debian und Ubuntu verteilen Pakete seit Jahren auch über unverschlüsseltes HTTP. Das galt als vertretbar, weil APT jedes Paket gegen signierte Prüfsummen abgleicht. Ein manipulierter Spiegel sollte damit höchstens stören, aber keinen fremden Code einschleusen können. CVE-2026-109518 trifft genau diese Annahme: Die Prüfung findet statt, das geprüfte Paket ist danach aber nicht mehr das, was installiert wird.
Offen bleibt einiges. Keines der drei Advisories berichtet von laufenden Angriffen. Keines nennt eine Übergangslösung für Systeme, die nicht sofort aktualisiert werden können. Und alle beschreiben den Angriff über HTTP, ohne zu sagen, ob per HTTPS angebundene Paketquellen ebenfalls angreifbar sind. Der vollständige technische Bericht von Justicz war bei Erscheinen der Advisories laut Phoronix noch nicht öffentlich.
Was Admins jetzt tun sollten
Debian empfiehlt schlicht, die APT-Pakete zu aktualisieren. Dabei gibt es einen Haken: Das Update selbst kommt ebenfalls über APT. Wer es einspielt, sollte das über eine Verbindung tun, der er vertraut, also nicht über ein fremdes WLAN oder einen unbekannten Proxy. Wichtig ist der Blick auf Container-Images, CI-Runner und interne Paketspiegel, die oft auf älteren APT-Ständen laufen und im Alltag ungeprüft Pakete nachladen. Wer Debian 11 oder Ubuntu 20.04 betreibt, sollte prüfen, ob irgendwo Acquire::Retries gesetzt ist.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
