Un bug nei tentativi di APT potrebbe trasformare un normale aggiornamento nell’esecuzione di codice con privilegi root

I gestori di pacchetti Linux si basano su una catena di fiducia che di solito resta invisibile finché non si spezza. In questo caso, il rischio riguarda APT, il sistema di aggiornamento usato da Debian e Ubuntu. Il problema segnalato non implica che ogni download di pacchetti sia pericoloso. È più circoscritto e più grave: in determinate condizioni HTTP, la logica dei tentativi può creare una situazione in cui un pacchetto sostituito può essere installato e il relativo codice eseguito con privilegi root.

In breve

• A quanto riferito, CVE-2026-109518 riguarda APT su Debian e Ubuntu quando un aggressore può modificare il traffico HTTP tra il client e un server di pacchetti.
• A quanto riferito, l’attacco descritto usa reindirizzamenti HTTP ed errori temporanei del server per costringere APT a riprovare il download.
• A quanto riferito, l’esito più grave è l’esecuzione di codice con privilegi root quando viene installato il pacchetto alterato.
• A quanto riferito, Debian 12 e Ubuntu 22.04 hanno la funzionalità di ripetizione dei tentativi abilitata per impostazione predefinita, mentre le versioni precedenti potrebbero essere esposte solo se è stato configurato Acquire::Retries.
• Non è stato verificato in modo indipendente in questa sede; l’effettiva esposizione di ogni distribuzione derivata o delle sorgenti basate su HTTPS resta irrisolta sulla base del materiale pubblico.

TECHCROOK

Il problema tecnico riguarda il modo in cui la fiducia può venir meno all’interno di un client di aggiornamento, non soltanto durante il transito in rete. Nello scenario descritto, un aggressore presente sul percorso o un mirror di pacchetti ostile può manipolare le risposte HTTP in modo da indurre APT a ripetere una richiesta. Questo comportamento di ripetizione è l’elemento cruciale: quando il download di un pacchetto viene richiesto nuovamente in condizioni alterate, il client può finire per accettare contenuti diversi dal file previsto. Se poi il pacchetto viene installato, i suoi script del manutentore e il suo payload vengono eseguiti con privilegi root, motivo per cui l’impatto è considerato critico.

La distinzione è importante. Un sistema non è compromesso solo perché è vulnerabile. L’esposizione dipende dalla versione di APT, dal trasporto utilizzato e dal fatto che i tentativi siano abilitati. Debian 11 e Ubuntu 20.04 sono descritti come non esposti per impostazione predefinita, ma ciò non esclude il rischio se gli amministratori o i sistemi automatizzati hanno attivato Acquire::Retries. Gli avvisi inoltre non chiariscono del tutto se tutte le sorgenti basate su HTTPS siano escluse dall’ambito, quindi i difensori dovrebbero evitare di considerare TLS una soluzione universale o di presumere che un mirror malevolo diventi sicuro solo perché usa HTTPS.

Dal punto di vista difensivo, la prima misura resta l’applicazione delle patch al gestore di pacchetti della versione interessata. Se non è possibile aggiornare subito, modifiche temporanee alla configurazione dei tentativi possono ridurre l’esposizione, ma sono solo una misura ponte, non una correzione. La lezione più ampia è che la sicurezza della gestione dei pacchetti dipende dai dettagli: reindirizzamenti, tentativi, scelta del trasporto e gestione dei file possono combinarsi in un’unica catena di guasti.

Conclusione

Questo incidente ricorda che i bug più pericolosi spesso si nascondono nei meccanismi interni che gli amministratori raramente esaminano. APT dovrebbe limitare la fiducia, verificare ciò che viene installato e rendere più sicura la manutenzione ordinaria. Quando la logica dei tentativi e la gestione del trasporto entrano in conflitto, quel confine di fiducia può rivelarsi più sottile di quanto sembri. Per i difensori, la lezione è semplice: applicare rapidamente le patch, verificare le modifiche involontarie alla configurazione e considerare il comportamento degli aggiornamenti dei pacchetti un’infrastruttura critica per la sicurezza, non una semplice attività di manutenzione.

WIKICROOK

• APT: Il gestore di pacchetti di Debian e Ubuntu, usato per scaricare, verificare e installare gli aggiornamenti software.
• CVE: Un identificativo pubblico usato per tenere traccia di una specifica vulnerabilità informatica.
• Man-in-the-Middle (MitM): Un attacco in cui qualcuno intercetta o altera il traffico tra due sistemi.
• Acquire: :Retries: Un’impostazione di APT che controlla quante volte viene ripetuto un download non riuscito.
• Privilegi root: Il livello più alto di controllo amministrativo su un sistema Unix-like.