APT'deki açık, Debian ve Ubuntu'da root yetkisiyle kod çalıştırmaya izin veriyor

Debian ve Ubuntu, 4 Kasım’da yayımladıkları güvenlik bildirimleriyle, iki dağıtımın ve bunlardan türeyen dağıtımların kullandığı paket yöneticisi APT’deki CVE-2026-109518 açığını kapattı. CVE kaydına göre bilgisayarla paket arşivi sunucusu arasındaki HTTP trafiğini değiştirebilen bir saldırgan, buna kötü niyetli bir yansı (mirror) sunucusu ya da vekil sunucu (proxy) da dahil, bir paket kurulumu sırasında APT’yi doğrulanmamış bir paketi kurmaya kandırabiliyor ve root yetkisiyle kod çalıştırabiliyor. Açığı Max Justicz buldu. Ubuntu’nun verdiği CVSS 4.0 puanı 7.7, Ubuntu açığa yüksek (High) öncelik veriyor.

Açık

CVE kaydına göre açık, APT’nin sabit bağlantıları (hard link) yeniden kullanmasından kaynaklanıyor. Saldırının çalışması için APT’nin yönlendirmeleri izlemesi ve başarısız paket indirmelerini yeniden denemesi gerekiyor. Bu da yeniden deneme sayısını belirleyen Acquire::Retries ayarının sıfırdan farklı olmasına bağlı. Ayarın varsayılan değeri Debian 12 (bookworm) ve Ubuntu 22.04 LTS’ten itibaren 3. Bu yüzden daha eski sürümler varsayılan ayarlarda etkilenmiyor. The Hacker News’e göre APT geliştiricileri, birçok kullanıcı betiğinin eski sürümlerde de bu ayarı açmış olabileceğini belirtiyor.

Canonical’ın 4 Kasım’da yayımladığı açıklamaya göre:

• Saldırgan ancak hedef bilgisayar bir .deb paketi kurmaya çalıştığında açığı kullanabiliyor. Normalde arşivin imza düzeni bu tür bir saldırıyı engelliyor, ancak açık APT’nin imza doğrulamasından geçmeyen bir paketi de kurmasına yol açıyor. Paketlerin kurulum betikleri root yetkisiyle çalıştığı için bu, sistemin ele geçirilmesi anlamına geliyor.
• Açık APT’nin HTTP bileşeninde. Bu yüzden apt, apt-get, aptitude ve Ubuntu’nun grafik uygulamaları dahil APT kullanan bütün araçlar etkileniyor.
• Saldırgan HTTP trafiğini değiştirmek zorunda olduğu için paket kaynaklarına HTTPS üzerinden bağlanan sistemler korunuyor. FTP gibi diğer aktarım yöntemleri ve snap paketleri etkilenmiyor.
• Acquire::Retries ayarı 0 olan, yani başarısız indirmeleri yeniden denemeyen sistemlerde açık kullanılamıyor.
• Ele geçirilmiş bir yansı sunucusu da imzasız zararlı paketler dağıtmak için açığı kullanabiliyor. APT güncellendikten sonra ele geçirilmiş yansı sunucuları artık risk oluşturmuyor.

Debian, Ubuntu ve CVE kaydında açığın saldırılarda kullanıldığına dair bir bilgi yok. Açık 4 Kasım itibarıyla CISA’nın KEV listesinde de yok.

Düzeltilmiş sürümler

Debian’ın güvenlik takip sistemine göre APT, Debian 12 (bookworm) için 2.6.2, Debian 13 (trixie) için 3.0.4, test dalı (forky) ve kararsız dal (sid) için 3.3.6 sürümünde düzeltildi.

Ubuntu’nun USN-8996-1 bildirimine göre düzeltilmiş APT sürümleri:

• Ubuntu 26.10: 3.3.3ubuntu0.1
• Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
• Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
• Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
• Ubuntu 20.04 ve 18.04 LTS: 2.0.12+esm1 ve 1.6.19+esm1, Ubuntu Pro ile.
• Ubuntu 16.04 ve 14.04 LTS: 1.2.36+esm1 ve 1.0.1ubuntu2.24+esm4, Ubuntu Pro’nun Legacy Support eklentisiyle.

Önerilen önlemler

Ubuntu’ya göre olağan bir sistem güncellemesi gerekli değişiklikleri yapıyor. Canonical, kurulu APT sürümünün apt list --installed '?source-package(^apt$)' komutuyla kontrol edilip yukarıdaki sürümlerle karşılaştırılmasını öneriyor.

Canonical’a göre bilgisayarla paket sunucusu arasındaki ağ yolundan endişe edenler, APT kaynaklarındaki http:// adreslerini https:// ile değiştirerek TLS’i açabiliyor. Şirkete göre araya girebilecek bir saldırgan olasılığı ortadan kaldırılamıyorsa, TLS’i güvenlik güncellemelerinden önce açmak açığın kullanılabileceği bir an kalmamasını sağlıyor. Canonical, açık kapatıldıktan sonra TLS’in yalnızca ek bir önlem olduğunu, uçtan uca doğrulama sağlayan arşiv imza düzeninin çok daha güçlü bir koruma olduğunu belirtiyor.