Debian ve Ubuntu’nun paket yöneticisi APT‘deki bir açık, paket indirmelerini değiştirme yetisine sahip bir saldırganın, doğrulanmış bir paketi kendi paketiyle değiştirmesine olanak tanıyor.
Debian, Ubuntu ve APT geliştiricilerinin 4 Kasım’da yayımladığı uyarılara göre, saldırganın kodu kök (root) olarak çalışıyor. Saldırı, APT’nin varsayılan olarak Debian 12 ve Ubuntu 22.04’ten itibaren yaptığı başarısız indirmeleri yeniden denemeyi gerektiriyor.
Debian, açık için CVE-2026-109518 numaralı düzeltilmiş APT sürümlerini yayımladı. Açığı kritik olarak nitelendiren APT geliştiricileri, Ubuntu ve Ubuntu Pro abonelik hizmeti için güncellemelerin yayımlandığını söylüyor. Ubuntu Pro’ya sahip Ubuntu 14.04 kullanıcıları zaten bir tanesini alabiliyor.
Eski sürümler, örneğin Debian 11 ve Ubuntu 20.04, Ubuntu’ya göre varsayılan olarak açıkta değil. Ancak APT geliştiricileri, birçok kullanıcı betiğinin bu sürümlerde yine de Acquire::Retries yeniden deneme ayarını açmış olabileceğini söylüyor.
Debian’ın dal sürümü, 4 Kasım’da 14:58 UTC’de hala açık sürüm olan 3.3.5’ti. 31 Ağustos’ta uzun süreli desteği sonlanan Debian 11 için APT geliştiricileri, düzeltilmiş 2.2.5 sürümünü yayımladı.
Ubuntu, açığı yüksek öncelikli olarak derecelendiriyor, 7.7’lik bir CVSS 4.0 puanı veriyor ve Debian ile Ubuntu üzerine inşa edilmiş dağıtımların da etkilendiğini söylüyor, ancak herhangi birini isimlendirmiyor.
Ubuntu, 4 Kasım’da 14:25 UTC’de dört sürümü için yeni APT yapılandırmalarını güvenlik arşive yayımladı:
- Ubuntu 26.10: 3.3.3ubuntu0.1
- Ubuntu 26.04 LTS: 3.2.1ubuntu0.1
- Ubuntu 24.04 LTS: 2.8.4ubuntu0.1
- Ubuntu 22.04 LTS: 2.4.15ubuntu0.1
15:46 UTC’de Ubuntu, açığı için izlediği 14.04 LTS’den 26.10’a kadar tüm sekiz sürümü hala açık olarak işaretliyordu.
Saldırgan, kötü niyetli bir ayna veya vekil sunucu dahil olmak üzere APT ile paket sunucusu arasındaki HTTP trafiğini değiştirebilen herhangi biri olabilir; saldırgan, bilgisayar bir paket kurarken saldırı gerçekleşiyor. APT geliştiricileri, saldırganın HTTP yönlendirmeleri ve sıradan geçici sunucu hatalarını kullanarak APT’nin indirmeyi yeniden denemesini sağladığını söylüyor.
Max Justicz, açığı bildirdi. Üç uyarı raporunun hiçbiri açığı kullanan saldırıları betimlemiyor ya da henüz güncellenemeyen sistemler için bir geçici çözüm sunmuyor. Saldırının HTTP üzerinden işlediğini anlatan raporlar, HTTPS üzerinden erişilen paket kaynaklarının maruz kalıp kalmadığına dair bir bilgi vermiyor.
Bu Gelişmeyi Toplulukta Değerlendirin
Haber hakkındaki düşüncelerinizi, donanım deneyimlerinizi ve teknik sorularınızı topluluk üyeleriyle anlık olarak tartışın.
Bu gelişme hakkında düşüncelerinizi, donanım deneyimlerinizi veya sorularınızı Topluluk Forumumuzda paylaşın.
Foruma Katıl & Yanıtla ➔
Söz sizde.
Deneyiminizi, sorularınızı ve katkılarınızı paylaşın. E-posta adresiniz yayımlanmaz.