Die kritische Schwachstelle CVE-2026-109518 im Paketmanager APT ermöglicht es einem Angreifer, der den HTTP-Verkehr zwischen Client und Repository abfangen kann, ein bereits verifiziertes Paket durch ein bösartiges zu ersetzen und die Ausführung beliebigen Codes mit Root-Rechten zu erreichen. Betroffen sind Debian, Ubuntu und darauf basierende Distributionen. Patches sind bereits verfügbar: Administratoren von Systemen auf Basis von Debian 12 und neuer sowie Ubuntu 22.04 LTS und neuer sollten APT umgehend aktualisieren, da diese Versionen in der Standardkonfiguration verwundbar sind. Als temporäre Maßnahmen kommen die Umstellung auf HTTPS-Paketquellen oder das Deaktivieren erneuter Downloadversuche in Frage.
Angriffsmechanismus und technische Voraussetzungen
Laut dem Sicherheitshinweis von Ubuntu hängt die Schwachstelle mit der Wiederverwendung von Hard Links im HTTP-Backend von APT zusammen. Ein Angreifer, der sich auf dem Weg zwischen Client und Paketserver befindet – sei es ein bösartiger Mirror, ein kompromittierter Proxy oder eine andere Form der Manipulation des HTTP-Verkehrs –, nutzt HTTP-Weiterleitungen und temporäre Serverfehler, um APT zu wiederholten Downloads zu veranlassen. Bei einem erneuten Download kann APT zwei unterschiedliche Downloads zusammenführen, nachdem eine HTTP-Weiterleitung ihnen denselben URI zugewiesen hat. Eine fehlerhafte Verarbeitung von Dateien beim Fortsetzen des Downloads ermöglicht es, ein Paket nach dessen Verifikation auszutauschen, wie Debian in DSA-6607-1 beschreibt.
Eine zentrale Voraussetzung für die Ausnutzung ist ein von Null verschiedener Wert des Parameters Acquire::Retries. Seit Debian 12 (bookworm) und Ubuntu 22.04 LTS ist der Standardwert auf 3 gesetzt, wodurch diese und neuere Releases „out of the box“ verwundbar sind. Ältere Versionen (Debian 11, Ubuntu 20.04 und früher) sind in der Standardkonfiguration nicht betroffen, allerdings weisen die APT-Entwickler darauf hin, dass viele Benutzerskripte und Anleitungen empfehlen, Wiederholungsversuche zu aktivieren, was die Angriffsfläche vergrößert.
Die Schwachstelle betrifft das HTTP-Backend der APT-Bibliothek und alle darauf basierenden Frontends: apt, apt-get, aptitude sowie grafische Paketverwaltungsanwendungen von Ubuntu. Laut dem Ubuntu-Blog ist die Installation von Paketen über snap nicht betroffen, da snap ein eigenes Paketverwaltungssystem verwendet.
Einschätzung der Schwere
Ubuntu bewertet die Schwachstelle mit einem CVSS v4.0 7.7 (High). Die APT-Entwickler bezeichnen sie in ihrem eigenen Sicherheitshinweis als kritische Umgehung der Datei-Verifikation. Der Bewertungsunterschied spiegelt unterschiedliche Methodiken wider: CVSS berücksichtigt die notwendige Benutzerbeteiligung (Start der Paketinstallation) und die Präsenz eines Angreifers im Datenpfad, während die APT-Entwickler den Fokus darauf legen, dass ein grundlegender Vertrauensmechanismus für Pakete ausgehebelt wird.
Zum Zeitpunkt der Veröffentlichung der Sicherheitshinweise lagen keine Meldungen über eine aktive Ausnutzung der Schwachstelle vor. Der Eintrag CVE-2026-109518 in der NVD wurde registriert.
Betroffene Versionen und verfügbare Patches
Dem Sicherheitstracker von Debian zufolge verteilen sich verwundbare und korrigierte APT-Versionen für Debian wie folgt:
- bookworm: verwundbar ist 2.6.1, behoben in 2.6.2
- trixie: verwundbar ist 3.0.3, behoben in 3.0.4
- forky: behoben in 3.3.6
- sid: behoben in 3.3.7
Ubuntu hat für acht Releases Patches veröffentlicht. Für derzeit unterstützte Versionen:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
Für ältere Releases sind Patches über Ubuntu Pro und das Programm für Extended Security Maintenance (ESM) verfügbar:
- Ubuntu 20.04: 2.0.12+esm1
- Ubuntu 18.04: 1.6.19+esm1
- Ubuntu 16.04: 1.2.36+esm1
- Ubuntu 14.04: 1.0.1ubuntu2.24+esm4
Priorisierung und praktische Empfehlungen
Am stärksten gefährdet sind Systeme, die zugleich HTTP-Paketquellen verwenden und einen von Null verschiedenen Wert für Acquire::Retries gesetzt haben. Für Debian 12 und neuer sowie Ubuntu 22.04 LTS und neuer entspricht dies der Standardkonfiguration. Administratoren älterer Releases sollten prüfen, ob der Wert von Acquire::Retries manuell geändert wurde – in Dateien unter /etc/apt/apt.conf.d/ oder durch Automatisierungsskripte.
Empfohlene Maßnahmen:
- APT-Update installieren. Deaktivieren Sie vor dem Update vorübergehend Wiederholungsversuche beim Download:
apt -o Acquire::Retries=0 update && apt -o Acquire::Retries=0 upgrade apt. - Paketquellen auf HTTPS umstellen. Die Verwendung von TLS schützt vor diesem Angriffsvektor, da die Ausnutzung eine Manipulation unverschlüsselten HTTP-Verkehrs erfordert. Dies ist eine temporäre Maßnahme und ersetzt nicht die Installation des Patches.
- Abgeleitete Distributionen prüfen. Ubuntu weist darauf hin, dass auch auf Debian und Ubuntu basierende Distributionen betroffen sind. Wenn Sie eine solche Distribution einsetzen, erkundigen Sie sich beim jeweiligen Projekt nach dem Patch-Status.
Frühere Schwachstellen, die das Ubuntu-Ökosystem betreffen, haben wir bereits behandelt – unter anderem eine kritische RCE im Linux-Kernel IPv4 TCP. Die aktuelle Schwachstelle in APT unterscheidet sich dadurch, dass sie den eigentlichen Mechanismus der Update-Auslieferung kompromittiert: Ist der Paketmanager kompromittiert, steht die gesamte Vertrauenskette für die Software der Systeme infrage.
Die Schwachstelle CVE-2026-109518 unterminiert einen der grundlegenden Sicherheitsmechanismen von Linux-Systemen – die Verifikation von Paketen bei der Installation. Angesichts der weiten Verbreitung von Debian und Ubuntu in Server-Infrastrukturen, Containerumgebungen und Cloud-Plattformen hat oberste Priorität, APT auf allen betroffenen Systemen zu aktualisieren und dabei beim eigentlichen Update den Parameter Acquire::Retries=0 zu verwenden. Auf Systemen, auf denen ein sofortiges Update nicht möglich ist, sollten die Paketquellen auf HTTPS umgestellt werden.
