if ( !emtpy($headline_subheadline ) ) : ?>
Une vulnérabilité dans le gestionnaire de paquets Debian et Ubuntu pourrait permettre aux attaquants du réseau de remplacer les logiciels vérifiés par des paquets malveillants et d’exécuter du code en tant que root.
endif; ?>
La confiance des administrateurs Linux dans les gestionnaires de paquets est mise à l’épreuve par une vulnérabilité récemment révélée dans APT, le système de gestion de paquets utilisé par Debian, Ubuntu et leurs dérivés, qui pourrait permettre aux attaquants d’installer des logiciels non vérifiés avec les privilèges root.
Traquée sous le numéro CVE-2026-109518, la vulnérabilité pourrait permettre à un attaquant positionné pour manipuler le trafic HTTP entre un client APT et un serveur d’archives d’installer un package contrôlé par un attaquant sans vérification.
Debian a révélé la faille le 4 novembre, en attribuant le crédit au chercheur en sécurité Max Justicz. Ubuntu lui a ensuite attribué une note élevée, lui attribuant un score CVSS de 7,7.
« J’ai utilisé une IA pendant deux heures et j’ai trouvé un jour zéro qui permettrait à un État-nation de pirater n’importe quel serveur exécutant Ubuntu », a déclaré Justicz dans un article X. Une exploitation réussie pourrait permettre l’exécution de code arbitraire avec les privilèges root sur une machine vulnérable.
Les deux distributions ont publié des correctifs.
Les redirections et les tentatives transforment les liens physiques en une surface d’attaque
Le problème réside dans la gestion par APT des redirections HTTP et de la reprise des téléchargements.
« APT peut fusionner deux téléchargements de paquets différents après qu’une redirection HTTP leur ait donné le même URI », indique l’avis de Debian. « Une mauvaise gestion des fichiers lors de la reprise d’un téléchargement HTTP permet à un attaquant de type man-in-the-middle (MitM) de remplacer un package après vérification, entraînant l’exécution de code arbitraire en tant que root. »
Les développeurs APT fournissent une explication plus détaillée : un attaquant peut exploiter les redirections et les erreurs transitoires du serveur HTTP qui déclenchent des tentatives de téléchargement, obligeant APT à remplacer les liens physiques existants par une charge utile choisie. Étant donné que les paquets Debian sont installés avec les privilèges root, la substitution réussie d’un paquet peut conduire à l’exécution de code arbitraire en tant que root.
Ubuntu a décrit la position d’attaque requise comme un attaquant sur le chemin capable de manipuler le trafic entre le client du package et le serveur d’archives. Un miroir ou un proxy malveillant pourrait fournir cette position, mais l’attaque nécessite des conditions de téléchargement spécifiques.
Les paramètres de nouvelle tentative déterminent qui est exposé
La vulnérabilité dépend du fait que le paramètre Acquire::Retries d’APT soit différent de zéro. Les développeurs d’APT affirment que c’est la valeur par défaut depuis la version 2.3.2, bien que des scripts puissent avoir activé les nouvelles tentatives sur des installations plus anciennes. Ubuntu précise que la valeur de nouvelle tentative par défaut de trois s’applique à partir de Debian 12 (Bookworm) et Ubuntu 22.04 LTS (Jammy Jellyfish). Les versions plus anciennes ne sont pas exposées par défaut, mais peuvent toujours être vulnérables si les nouvelles tentatives ont été activées.
Debian 13 (Trixie) est corrigé dans APT 3.0.4, tandis que Debian 12 (Bookworm) a reçu le correctif dans la version 2.6.2. Ubuntu a également publié des packages corrigés pour les versions prises en charge, notamment 22.04 LTS, 24.04.LTS et 26.04 LTS. Ubuntu 26.10 a également été affecté, son correctif ayant été publié lors de la parution de l’avis d’Ubuntu du 4 novembre. Le correctif résout le problème sous-jacent de gestion des fichiers. Dans un commit rédigé le 12 octobre, le développeur d’APT Julian Andres Klode a modifié le code de téléchargement pour ouvrir exclusivement les fichiers de destination, dissociant les fichiers existants avant de copier tout contenu partiellement téléchargé.
Le changement empêche les téléchargements d’écrire via des liens physiques existants, ce qui pourrait autrement rediriger les écritures vers des fichiers involontaires.
Ubuntu recommande de mettre à jour APT et de désactiver temporairement les tentatives pendant la correction. Il conseille également d’utiliser HTTPS pour les téléchargements de packages, ce qui protège contre la manipulation du trafic dans ce scénario d’attaque. Pour les équipes de sécurité de l’entreprise, la priorité est d’identifier les installations vulnérables, de vérifier les configurations de nouvelles tentatives et de garantir que les packages corrigés parviennent aux systèmes de production et aux images Linux utilisées pour les provisionner.
