veilletech.fr
5 nov. Feed du jour
#01 SÉCURITÉ Faille

APT : un paquet vérifié remplacé, code exécuté en root

Avant votre prochain apt install, mettez APT lui-même à jour.

Une faille d'APT, CVE-2026-109518, permet à un attaquant qui contrôle le téléchargement (miroir malveillant, proxy) de remplacer un paquet après sa vérification et d'exécuter son code en root. Debian et Ubuntu ont publié des versions corrigées le 4 novembre ; les nouvelles tentatives de téléchargement, nécessaires à l'attaque, sont actives par défaut depuis Debian 12 et Ubuntu 22.04.

2 min de lectureintermédiairevidéo 1:21
Partager
Sommaire6 sections
  1. Ce qui se passe
  2. Le mécanisme
  3. Versions corrigées
  4. Comment s'y prendre
  5. Ce que l'on ne sait pas
  6. À retenir

Ce qui se passe

CVE-2026-109518 touche APT, le gestionnaire de paquets de Debian et d'Ubuntu. Un attaquant qui peut modifier le téléchargement (miroir malveillant, proxy sur le trajet) remplace un paquet après qu'APT l'a vérifié, et son code s'exécute en root à l'installation. Signalée par Max Justicz, la faille fait l'objet d'avis Debian, Ubuntu et APT du 4 novembre 2026. Les développeurs d'APT la jugent critique ; Ubuntu retient la priorité haute, CVSS 4.0 de 7,7.

Le mécanisme

Selon l'avis Debian (DSA-6607-1), une redirection HTTP peut donner le même URI à deux téléchargements, qu'APT fusionne, et la reprise d'un téléchargement manipule mal le fichier : le paquet change une fois la vérification passée. L'attaquant provoque des redirections et de banales erreurs temporaires pour qu'APT réessaie. Ces nouvelles tentatives sont actives par défaut depuis Debian 12 et Ubuntu 22.04 ; sur les versions plus anciennes, beaucoup de scripts activent Acquire::Retries quand même.

Versions corrigées

À 15 h 46 UTC, Ubuntu marquait encore ses huit versions suivies (14.04 à 26.10) comme vulnérables, la 14.04 ayant un correctif via Ubuntu Pro. Debian testing restait en 3.3.5, vulnérable. L'avis Debian ne cite que trixie pour la stable.

Comment s'y prendre

Terminal
sudo apt update
sudo apt install --only-upgrade apt
apt --version
grep -rn "Acquire::Retries" /etc/apt/

Reconstruisez aussi vos images Docker et vos runners de CI : ils exécutent apt à chaque build, avec celui de l'image de base.

Ce que l'on ne sait pas

Aucun des trois avis ne décrit d'attaque réelle ni de contournement pour les machines non corrigibles. Ils décrivent l'attaque sur HTTP sans dire si les sources en HTTPS sont exposées.

Source : The Hacker News, qui cite l'avis Debian, la page Ubuntu et l'avis APT. Source en anglais.