APT की एक उच्च गंभीरता वाली खामी HTTP पैकेज-डाउनलोड ट्रैफ़िक को नियंत्रित करने वाले हमलावर को वेरिफ़िकेशन के बाद किसी पैकेज को बदलने का मौका दे सकती है। Debian और Ubuntu ने 4 नवंबर, 2026 को सुरक्षा अपडेट जारी किए।
क्या हुआ
Debian और Ubuntu ने CVE-2026-109518 का खुलासा किया, जो सॉफ़्टवेयर इंस्टॉल और अपडेट करने के लिए इस्तेमाल होने वाले APT पैकेज मैनेजर की एक कमज़ोरी है। Ubuntu इसे High रेटिंग देता है, CVSS v4.0 स्कोर 7.7 के साथ।
कोई ऑन-पाथ (on-path) हमलावर, जो किसी प्रभावित सिस्टम और उसके पैकेज मिरर (mirror) के बीच HTTP ट्रैफ़िक में हेरफेर कर सकता है, या जो किसी दुर्भावनापूर्ण मिरर या प्रॉक्सी को नियंत्रित करता है, APT से हमलावर के नियंत्रण वाला, बिना वेरिफ़ाई किया हुआ .deb पैकेज इंस्टॉल करवा सकता है। चूंकि इंस्टॉलेशन के दौरान पैकेज मेंटेनर स्क्रिप्ट root के रूप में चल सकती हैं, इसलिए सफल दुरुपयोग root स्तर पर कोड चलाने तक पहुंच सकता है।
यह खामी शोधकर्ता Max Justicz ने रिपोर्ट की, जिन्हें Canonical के ब्लॉग और Debian की एडवाइज़री, दोनों में श्रेय दिया गया है। Debian और Ubuntu ने 4 नवंबर, 2026 को सुधारे गए APT पैकेज उपलब्ध कराए। स्रोत: Ubuntu की सुरक्षा व्याख्या, Debian सुरक्षा एडवाइज़री DSA-6607-1 और Debian का सिक्योरिटी ट्रैकर।
दोनों डिस्ट्रीब्यूशन इसे अलग-अलग तरह से वर्गीकृत करते हैं। Ubuntu इसे High रेटिंग देता है, जबकि Debian की APT घोषणा इसे गंभीर (critical) फ़ाइल वेरिफ़िकेशन बायपास कहती है। जिन वेंडर एडवाइज़री की समीक्षा की गई, उनमें वास्तविक दुनिया में (in the wild) दुरुपयोग की कोई रिपोर्ट नहीं है।
पैकेज वेरिफ़िकेशन को कैसे बायपास किया जा सकता है
APT आम तौर पर डाउनलोड किए गए सॉफ़्टवेयर की जांच के लिए हस्ताक्षरित (signed) रिपॉज़िटरी जानकारी और पैकेज हैश का इस्तेमाल करता है, उन स्थितियों में भी जब पैकेज ऐसे मिरर से आते हैं जिन पर स्वतंत्र रूप से भरोसा नहीं किया जाता। यह कमज़ोरी APT के HTTP डाउनलोड प्रबंधन में है।
रीडायरेक्ट और रीट्राई की कुछ खास स्थितियों में क्लाइंट हार्ड लिंक (hard links) का गलत तरीके से दोबारा इस्तेमाल कर सकता है और हमलावर के नियंत्रण वाली डाउनलोड की गई सामग्री को वेरिफ़िकेशन के बाद पैकेज फ़ाइल की जगह लेने दे सकता है। Debian की एडवाइज़री इसका कारण यह बताती है कि APT दो अलग पैकेज डाउनलोड को मिला देता है जिन्हें एक HTTP रीडायरेक्ट एक ही URI दे देता है, जिससे डाउनलोड दोबारा शुरू (resume) होने पर कोई मैन-इन-द-मिडल (man-in-the-middle) वेरिफ़िकेशन के बाद पैकेज बदल सकता है (DSA-6607-1)। Debian ट्रैकर और Ubuntu का CVE पेज इसका कारण हार्ड लिंक के दोबारा इस्तेमाल को बताते हैं। हमलावर को ऐसा HTTP पाथ या मिरर चाहिए जिसमें वह हेरफेर कर सके, और क्लाइंट के सामने ज़रूरी रीडायरेक्ट/रीट्राई क्रम आना चाहिए। दुरुपयोग के लिए शून्य से अलग (nonzero) Acquire::Retries सेटिंग ज़रूरी है।
यह कमज़ोरी APT पर आधारित टूल को प्रभावित करती है, सिर्फ़ किसी एक कमांड-लाइन फ़्रंटएंड को नहीं। Canonical apt, apt-get, aptitude और ग्राफ़िकल APT एप्लिकेशन की पहचान करता है। यह Snap पैकेज इंस्टॉलेशन को प्रभावित नहीं करती, जो एक अलग प्रणाली इस्तेमाल करता है।
प्रभावित रिलीज़ और सुधारे गए वर्शन
Debian 12 और Ubuntu 22.04 LTS से Acquire::Retries डिफ़ॉल्ट रूप से शून्य से अलग होता है। पुरानी रिलीज़ तब प्रभावित हो सकती हैं जब रीट्राई स्पष्ट रूप से चालू किए गए हों, और समर्थित पुरानी Ubuntu रिलीज़ को भी सुधारे गए पैकेज मिले हैं।
Debian
| रिलीज़ | फ़िक्स किया गया APT वर्शन |
|---|---|
| Debian 12 Bookworm | 2.6.2 |
| Debian 13 Trixie | 3.0.4 |
| Forky (डेवलपमेंट ब्रांच) | 3.3.6 |
| Sid (अस्थिर, unstable) | 3.3.7 |
स्रोत: Debian CVE ट्रैकर। ट्रैकर Forky और Sid डेवलपमेंट ब्रांच को भी फ़िक्स के रूप में दर्ज करता है। पुराने Debian रिलीज़ चैनल को उनकी अपनी एडवाइज़री से जांचना चाहिए।
Ubuntu
| रिलीज़ | फ़िक्स किया गया APT वर्शन |
|---|---|
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 20.04 LTS (Ubuntu Pro) | 2.0.12+esm1 |
| Ubuntu 18.04 LTS (Ubuntu Pro) | 1.6.19+esm1 |
| Ubuntu 16.04 LTS (Ubuntu Pro, Legacy Support ऐड-ऑन) | 1.2.36+esm1 |
| Ubuntu 14.04 LTS (Ubuntu Pro, Legacy Support ऐड-ऑन) | 1.0.1ubuntu2.24+esm4 |
तालिका में दी गई पुरानी Ubuntu रिलीज़ Ubuntu Pro और Expanded Security Maintenance कवरेज के ज़रिए फ़िक्स की गई हैं। स्रोत: Ubuntu CVE-2026-109518।
एडमिनिस्ट्रेटर को क्या करना चाहिए
1. सुधारे गए APT पैकेज इंस्टॉल करें। अपने डिस्ट्रीब्यूशन की सुरक्षा-अपडेट प्रक्रिया का पालन करें। Ubuntu का प्रकाशित सुधार कमांड यह है:
sudo apt update && sudo apt upgrade -o Acquire::Retries=0जहां पूरा अपग्रेड संभव न हो, वहां के लिए Canonical सिर्फ़ APT सोर्स पैकेज का एक सीमित अपग्रेड भी देता है:
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'Canonical बताता है कि unattended-upgrades, जो Ubuntu 16.04 LTS से डिफ़ॉल्ट रूप से चालू है, 24 घंटे के भीतर फ़िक्स लागू कर देता है। इन दस्तावेज़ित कमांड में रीट्राई ओवरराइड पैकेज अपग्रेड ऑपरेशन पर लागू होता है। खास तौर पर जोखिम वाले वातावरण के एडमिनिस्ट्रेटर को अविश्वसनीय HTTP मिरर से अपडेट करने से पहले अपने वेंडर का मिटिगेशन मार्गदर्शन देखना चाहिए। Debian पर, फ़िक्स किया गया apt पैकेज DSA-6607-1 में बताई गई सामान्य सुरक्षा-अपडेट प्रक्रिया से इंस्टॉल करें।
2. इंस्टॉल किए गए वर्शन की पुष्टि करें। APT सोर्स पैकेज से बने पैकेज की सूची देखने के लिए Ubuntu यह कमांड दस्तावेज़ित करता है:
apt list --installed '?source-package(^apt$)'नतीजों की तुलना सही फ़िक्स किए गए वर्शन और इंस्टॉल किए गए डिस्ट्रीब्यूशन चैनल से करें।
3. HTTPS मिरर पर विचार करें। सही तरीके से इस्तेमाल किए जाने पर HTTPS उस HTTP ट्रैफ़िक हेरफेर को रोकता है जो इस कमज़ोरी के लिए ज़रूरी है। पुष्टि करें कि चुना गया मिरर HTTPS सपोर्ट करता है, और सामान्य signed-रिपॉज़िटरी जांच बनाए रखें। HTTPS फ़िक्स किया गया APT पैकेज इंस्टॉल करने की जगह नहीं लेता।
4. रीट्राई मिटिगेशन को सिर्फ़ अस्थायी सुरक्षा के रूप में इस्तेमाल करें। Acquire::Retries=0 सेट करने से वह रीट्राई स्थिति नहीं बनती जो इस कमज़ोरी के लिए ज़रूरी है, लेकिन एडमिनिस्ट्रेटर को किसी कॉन्फ़िगरेशन बदलाव पर अनिश्चित समय तक निर्भर रहने के बजाय सुधारे गए पैकेज इंस्टॉल करने चाहिए।
5. कंप्रोमाइज़ का संदेह हो तो जांच करें। पैकेज-मैनेजमेंट लॉग और अनधिकृत पैकेज के सबूतों की समीक्षा करें। पैचिंग इस खामी के भविष्य के दुरुपयोग को रोकती है, लेकिन अपने आप उस पैकेज को नहीं हटाती जो कोई हमलावर पहले ही इंस्टॉल कर चुका है। TechiesJournal का लेख दुरुपयोग किए गए डिवाइस के पैच होने के बाद क्या करें बताता है कि पैच किया गया सिस्टम ज़रूरी नहीं कि साफ़ भी हो।
6. कंटेनर इमेज दोबारा बनाएं और क्लाउड इमेज जांचें। Debian या Ubuntu बेस से बनी कई कंटेनर और मशीन इमेज में APT मौजूद होता है। AWS का बुलेटिन 2026-172 कहता है कि EC2 पर स्वयं प्रबंधित Ubuntu और Debian इंस्टेंस को पैच करना ग्राहक की ज़िम्मेदारी है, कि कंटेनर इमेज को दोबारा बनाकर फिर से डिप्लॉय किया जाना चाहिए, और कि Amazon Inspector प्रभावित इंस्टेंस की पहचान में मदद कर सकता है।
एडमिनिस्ट्रेटर के लिए मुख्य बात
जोखिम यह नहीं है कि सभी HTTP रिपॉज़िटरी स्वाभाविक रूप से बिना हस्ताक्षर वाली हैं। APT आम तौर पर भरोसेमंद, हस्ताक्षरित मेटाडेटा के आधार पर पैकेज की अखंडता (integrity) की पुष्टि करता है। CVE-2026-109518 खास HTTP रीडायरेक्ट और रीट्राई स्थितियों में उस वेरिफ़िकेशन सीमा को बायपास होने देता है। APT को अपडेट करना ही मुख्य फ़िक्स है, और HTTPS ट्रांसपोर्ट तथा रीट्राई नियंत्रण अतिरिक्त सुरक्षा देते हैं।
आधिकारिक स्रोत
- CVE-2026-109518 के लिए Ubuntu सुरक्षा एडवाइज़री
- Ubuntu की तकनीकी व्याख्या और सुधार
- Debian CVE ट्रैकर
- Debian सुरक्षा एडवाइज़री DSA-6607-1
- Debian APT सुरक्षा अपडेट घोषणा
- AWS सुरक्षा बुलेटिन 2026-172
स्रोत 12 नवंबर, 2026 को पढ़े गए। ऊपर दिए गए वर्शन नंबर पर भरोसा करने से पहले अपनी रिलीज़ के लिए अपने डिस्ट्रीब्यूशन की मौजूदा एडवाइज़री जांचें।