అధిక తీవ్రత గల ఒక APT లోపం వల్ల, HTTP ప్యాకేజీ డౌన్‌లోడ్ ట్రాఫిక్‌ను నియంత్రించే దాడిచేసే వ్యక్తి వెరిఫికేషన్ తర్వాత ఒక ప్యాకేజీని మార్చివేయగలిగే అవకాశం ఉంది. Debian, Ubuntu 2026 నవంబర్ 4న సెక్యూరిటీ అప్‌డేట్‌లను విడుదల చేశాయి.
ఏం జరిగింది
Debian, Ubuntu CVE-2026-109518ను వెల్లడించాయి. సాఫ్ట్‌వేర్‌ను ఇన్‌స్టాల్ చేయడానికి, అప్‌డేట్ చేయడానికి వాడే APT ప్యాకేజీ మేనేజర్‌లోని ఒక లోపం ఇది. Ubuntu దీనికి High రేటింగ్ ఇచ్చింది, దీని CVSS v4.0 స్కోర్ 7.7.
ప్రభావిత సిస్టమ్‌కు, దాని ప్యాకేజీ మిర్రర్‌కు మధ్య ఉన్న HTTP ట్రాఫిక్‌ను మార్చగలిగే ఆన్-పాత్ దాడిచేసే వ్యక్తి (on-path attacker), లేదా హానికరమైన మిర్రర్‌ను గానీ ప్రాక్సీని గానీ నియంత్రించే వ్యక్తి, తన నియంత్రణలో ఉన్న, వెరిఫై కాని ఒక .deb ప్యాకేజీని APT ఇన్‌స్టాల్ చేసేలా చేయగలిగే అవకాశం ఉంది. ఇన్‌స్టాలేషన్ సమయంలో ప్యాకేజీ మెయింటెయినర్ స్క్రిప్ట్‌లు root గా నడవగలవు కాబట్టి, ఎక్స్‌ప్లాయిటేషన్ విజయవంతమైతే root స్థాయి కోడ్ ఎగ్జిక్యూషన్‌కు దారితీయవచ్చు.
ఈ లోపాన్ని పరిశోధకుడు Max Justicz నివేదించారు, Canonical బ్లాగ్, Debian అడ్వైజరీ రెండూ ఆయనకు క్రెడిట్ ఇచ్చాయి. Debian, Ubuntu 2026 నవంబర్ 4న సరిచేసిన APT ప్యాకేజీలను అందించాయి. మూలాలు: Ubuntu సెక్యూరిటీ వివరణ, Debian సెక్యూరిటీ అడ్వైజరీ DSA-6607-1, Debian సెక్యూరిటీ ట్రాకర్.
రెండు డిస్ట్రిబ్యూషన్‌లు దీనిని వేర్వేరుగా వర్గీకరిస్తున్నాయి. Ubuntu దీనికి High రేటింగ్ ఇచ్చింది, Debian APT ప్రకటన మాత్రం దీనిని క్రిటికల్ ఫైల్ వెరిఫికేషన్ బైపాస్ (critical file verification bypass) అని పేర్కొంది. పరిశీలించిన వెండర్ అడ్వైజరీలు ఈ లోపం వాస్తవ ప్రపంచంలో (in the wild) ఎక్స్‌ప్లాయిట్ అయినట్లు నివేదించలేదు.
ప్యాకేజీ వెరిఫికేషన్‌ను ఎలా బైపాస్ చేయవచ్చు
డౌన్‌లోడ్ చేసిన సాఫ్ట్‌వేర్‌ను తనిఖీ చేయడానికి APT సాధారణంగా సంతకం చేసిన (signed) రిపాజిటరీ సమాచారాన్ని, ప్యాకేజీ హ్యాష్‌లను వాడుతుంది. స్వతంత్రంగా విశ్వసించని మిర్రర్‌ల నుంచి ప్యాకేజీలు వచ్చినప్పుడు కూడా ఇదే జరుగుతుంది. ఈ లోపం APT యొక్క HTTP డౌన్‌లోడ్ నిర్వహణలో ఉంది.
నిర్దిష్ట రీడైరెక్ట్, రీట్రై పరిస్థితుల్లో, క్లయింట్ హార్డ్ లింక్‌లను (hard links) తప్పుగా తిరిగి వాడుకుని, దాడిచేసే వ్యక్తి నియంత్రణలోని డౌన్‌లోడ్ కంటెంట్ వెరిఫికేషన్ తర్వాత ఒక ప్యాకేజీ ఫైల్‌ను భర్తీ చేసేలా అనుమతించవచ్చు. Debian అడ్వైజరీ ప్రకారం, ఒక HTTP రీడైరెక్ట్ ఒకే URIని ఇచ్చే రెండు వేర్వేరు ప్యాకేజీ డౌన్‌లోడ్‌లను APT విలీనం చేయడమే దీనికి కారణం. దీనివల్ల ఒక డౌన్‌లోడ్ తిరిగి కొనసాగించినప్పుడు (resumed), మ్యాన్-ఇన్-ది-మిడిల్ (man-in-the-middle) వెరిఫికేషన్ తర్వాత ఒక ప్యాకేజీని భర్తీ చేయగలరు (DSA-6607-1). Debian ట్రాకర్, Ubuntu CVE పేజీ దీనికి హార్డ్ లింక్‌ల పునర్వినియోగమే కారణమని పేర్కొంటున్నాయి. దాడిచేసే వ్యక్తికి తాను మార్చగలిగే HTTP మార్గం లేదా మిర్రర్ అవసరం, అలాగే క్లయింట్ అవసరమైన రీడైరెక్ట్/రీట్రై క్రమాన్ని ఎదుర్కోవాలి. ఎక్స్‌ప్లాయిటేషన్‌కు సున్నా కాని Acquire::Retries సెట్టింగ్ తప్పనిసరి.
ఈ లోపం కేవలం ఒక కమాండ్-లైన్ ఫ్రంట్‌ఎండ్‌పై మాత్రమే కాదు, APT ఆధారిత టూల్స్‌పై ప్రభావం చూపుతుంది. Canonical apt, apt-get, aptitude, గ్రాఫికల్ APT అప్లికేషన్‌లను గుర్తిస్తుంది. వేరే విధానాన్ని వాడే Snap ప్యాకేజీ ఇన్‌స్టాలేషన్‌పై ఇది ప్రభావం చూపదు.
ప్రభావిత విడుదలలు, సరిచేసిన వెర్షన్‌లు
Debian 12, Ubuntu 22.04 LTS నుంచి Acquire::Retries డిఫాల్ట్‌గా సున్నా కాని విలువతో ఉంటుంది. రీట్రైలను స్పష్టంగా ఎనేబుల్ చేసిన చోట పాత విడుదలలు కూడా ప్రభావితం కావచ్చు, సపోర్ట్ ఉన్న పాత Ubuntu విడుదలలకు కూడా సరిచేసిన ప్యాకేజీలు అందాయి.
Debian
| విడుదల | సరిచేసిన APT వెర్షన్ |
|---|---|
| Debian 12 Bookworm | 2.6.2 |
| Debian 13 Trixie | 3.0.4 |
| Forky (డెవలప్‌మెంట్ బ్రాంచ్) | 3.3.6 |
| Sid (అస్థిర, unstable) | 3.3.7 |
మూలం: Debian CVE ట్రాకర్. Forky, Sid డెవలప్‌మెంట్ బ్రాంచ్‌లను కూడా ట్రాకర్ సరిచేసినవిగా చూపుతుంది. పాత Debian విడుదల ఛానెల్‌లను వాటి సొంత అడ్వైజరీలతో సరిపోల్చి తనిఖీ చేయాలి.
Ubuntu
| విడుదల | సరిచేసిన APT వెర్షన్ |
|---|---|
| Ubuntu 22.04 LTS | 2.4.15ubuntu0.1 |
| Ubuntu 24.04 LTS | 2.8.4ubuntu0.1 |
| Ubuntu 26.04 LTS | 3.2.1ubuntu0.1 |
| Ubuntu 26.10 | 3.3.3ubuntu0.1 |
| Ubuntu 20.04 LTS (Ubuntu Pro) | 2.0.12+esm1 |
| Ubuntu 18.04 LTS (Ubuntu Pro) | 1.6.19+esm1 |
| Ubuntu 16.04 LTS (Ubuntu Pro, Legacy Support యాడ్-ఆన్) | 1.2.36+esm1 |
| Ubuntu 14.04 LTS (Ubuntu Pro, Legacy Support యాడ్-ఆన్) | 1.0.1ubuntu2.24+esm4 |
పట్టికలోని పాత Ubuntu విడుదలలకు Ubuntu Pro, Expanded Security Maintenance కవరేజ్ ద్వారా ఫిక్స్‌లు అందాయి. మూలం: Ubuntu CVE-2026-109518.
అడ్మినిస్ట్రేటర్లు ఏం చేయాలి
1. సరిచేసిన APT ప్యాకేజీలను ఇన్‌స్టాల్ చేయండి. మీ డిస్ట్రిబ్యూషన్ సెక్యూరిటీ అప్‌డేట్ ప్రక్రియను అనుసరించండి. Ubuntu ప్రచురించిన నివారణ (remediation) కమాండ్ ఇది:
sudo apt update && sudo apt upgrade -o Acquire::Retries=0పూర్తి అప్‌గ్రేడ్ సాధ్యం కాని చోట, APT సోర్స్ ప్యాకేజీకి మాత్రమే పరిమితమైన అప్‌గ్రేడ్‌ను కూడా Canonical అందిస్తుంది:
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'Ubuntu 16.04 LTS నుంచి డిఫాల్ట్‌గా ఎనేబుల్ అయి ఉండే unattended-upgrades 24 గంటల్లోపు ఫిక్స్‌లను అప్లై చేస్తుందని Canonical పేర్కొంది. ఈ డాక్యుమెంట్ చేసిన కమాండ్‌లలో రీట్రై ఓవర్‌రైడ్ ప్యాకేజీ అప్‌గ్రేడ్ ఆపరేషన్‌కు వర్తిస్తుంది. ప్రత్యేకించి ఎక్కువ ప్రమాదానికి గురయ్యే వాతావరణాల్లోని అడ్మినిస్ట్రేటర్లు, విశ్వసనీయం కాని HTTP మిర్రర్‌ల నుంచి అప్‌డేట్ చేసే ముందు తమ వెండర్ ఉపశమన (mitigation) మార్గదర్శకాలను సంప్రదించాలి. Debianలో, DSA-6607-1లో వివరించిన సాధారణ సెక్యూరిటీ అప్‌డేట్ ప్రక్రియ ద్వారా సరిచేసిన apt ప్యాకేజీని ఇన్‌స్టాల్ చేయండి.
2. ఇన్‌స్టాల్ అయిన వెర్షన్‌లను ధృవీకరించండి. APT సోర్స్ ప్యాకేజీ నుంచి వచ్చిన ప్యాకేజీలను జాబితా చేయడానికి Ubuntu కింది కమాండ్‌ను డాక్యుమెంట్ చేస్తుంది:
apt list --installed '?source-package(^apt$)'ఫలితాలను తగిన సరిచేసిన వెర్షన్‌తో, ఇన్‌స్టాల్ అయిన డిస్ట్రిబ్యూషన్ ఛానెల్‌తో సరిపోల్చండి.
3. HTTPS మిర్రర్‌లను పరిగణించండి. సరిగ్గా వాడినప్పుడు, ఈ లోపానికి అవసరమైన HTTP ట్రాఫిక్ మార్పును HTTPS నిరోధిస్తుంది. ఎంచుకున్న మిర్రర్ HTTPSను సపోర్ట్ చేస్తుందో లేదో ధృవీకరించండి, సంతకం చేసిన రిపాజిటరీ సాధారణ తనిఖీలను కొనసాగించండి. సరిచేసిన APT ప్యాకేజీని ఇన్‌స్టాల్ చేయడానికి HTTPS ప్రత్యామ్నాయం కాదు.
4. రీట్రై ఉపశమన చర్యను తాత్కాలిక రక్షణగా మాత్రమే వాడండి. Acquire::Retries=0 సెట్ చేస్తే ఈ లోపానికి అవసరమైన రీట్రై పరిస్థితి నిరోధించబడుతుంది, అయితే అడ్మినిస్ట్రేటర్లు ఒక కాన్ఫిగరేషన్ మార్పుపై నిరవధికంగా ఆధారపడకుండా సరిచేసిన ప్యాకేజీలను ఇన్‌స్టాల్ చేయాలి.
5. రాజీ (compromise) జరిగిందని అనుమానం ఉంటే దర్యాప్తు చేయండి. ప్యాకేజీ మేనేజ్‌మెంట్ లాగ్‌లను, అనధికార ప్యాకేజీల ఆనవాళ్లను సమీక్షించండి. ప్యాచింగ్ ఈ లోపం భవిష్యత్ ఎక్స్‌ప్లాయిటేషన్‌ను నిరోధిస్తుంది, కానీ దాడిచేసే వ్యక్తి ఇప్పటికే ఇన్‌స్టాల్ చేసిన ప్యాకేజీని అది స్వయంగా తొలగించదు. ప్యాచ్ చేసిన సిస్టమ్ తప్పనిసరిగా శుభ్రమైనది (clean) ఎందుకు కాకపోవచ్చో, ఎక్స్‌ప్లాయిట్ అయిన పరికరాన్ని ప్యాచ్ చేసిన తర్వాత ఏం చేయాలి అనే TechiesJournal వ్యాసం వివరిస్తుంది.
6. కంటైనర్ ఇమేజ్‌లను మళ్లీ బిల్డ్ చేయండి, క్లౌడ్ ఇమేజ్‌లను తనిఖీ చేయండి. Debian లేదా Ubuntu బేస్‌ల నుంచి బిల్డ్ చేసిన అనేక కంటైనర్, మెషిన్ ఇమేజ్‌లలో APT ఉంటుంది. AWS బులెటిన్ 2026-172 ప్రకారం, EC2పై సొంతంగా నిర్వహించే (self-managed) Ubuntu, Debian ఇన్‌స్టాన్స్‌లను ప్యాచ్ చేసే బాధ్యత కస్టమర్‌దే, కంటైనర్ ఇమేజ్‌లను మళ్లీ బిల్డ్ చేసి రీడిప్లాయ్ చేయాలి, ప్రభావిత ఇన్‌స్టాన్స్‌లను గుర్తించడంలో Amazon Inspector సహాయపడగలదు.
అడ్మినిస్ట్రేటర్లు గుర్తుంచుకోవాల్సినది
అన్ని HTTP రిపాజిటరీలూ స్వభావరీత్యా సంతకం లేనివి (unsigned) అని కాదు ఇక్కడ ప్రమాదం. APT సాధారణంగా విశ్వసనీయమైన, సంతకం చేసిన మెటాడేటాతో ప్యాకేజీ సమగ్రతను (integrity) ధృవీకరిస్తుంది. నిర్దిష్ట HTTP రీడైరెక్ట్, రీట్రై పరిస్థితుల్లో ఆ వెరిఫికేషన్ సరిహద్దును బైపాస్ చేయడానికి CVE-2026-109518 వీలు కల్పిస్తుంది. APTని అప్‌డేట్ చేయడమే ప్రధాన పరిష్కారం, HTTPS ట్రాన్స్‌పోర్ట్, రీట్రై నియంత్రణలు అదనపు రక్షణను అందిస్తాయి.
అధికారిక మూలాలు
- CVE-2026-109518 కోసం Ubuntu సెక్యూరిటీ అడ్వైజరీ
- Ubuntu సాంకేతిక వివరణ, నివారణ చర్యలు
- Debian CVE ట్రాకర్
- Debian సెక్యూరిటీ అడ్వైజరీ DSA-6607-1
- Debian APT సెక్యూరిటీ అప్‌డేట్ ప్రకటన
- AWS సెక్యూరిటీ బులెటిన్ 2026-172
మూలాలను 2026 నవంబర్ 12న చదివాము. పైన ఇచ్చిన వెర్షన్ నంబర్‌లపై ఆధారపడే ముందు, మీ విడుదలకు సంబంధించి మీ డిస్ట్రిబ్యూషన్ ప్రస్తుత అడ్వైజరీని తనిఖీ చేయండి.