Debian выпустил предупреждение DSA-6607-1 об уязвимости CVE-2026-109518 в менеджере пакетов APT. Проблему обнаружил Макс Джастиц. При определённых условиях атакующий, способный перехватывать сетевой трафик, мог подменить загружаемый пакет уже после проверки и добиться выполнения произвольного кода с правами root. Уязвимость получила отдельный идентификатор CVE, а рекомендация Debian опубликована 4 ноября 2026 года Сальваторе Бонакорсо от имени команды безопасности проекта в официальном списке рассылки.
Уязвимость связана с обработкой HTTP-перенаправлений и возобновлением загрузок. После редиректа две разные загрузки пакетов могли получить одинаковый URI, после чего APT ошибочно объединял их. Дополнительная некорректная работа с файлами при продолжении HTTP-загрузки позволяла подменить содержимое на этапе, когда проверка уже была пройдена. Таким образом, проблема затрагивала не только целостность скачиваемого файла, но и безопасность всей системы, поскольку установка пакетов выполняется с административными привилегиями.
Для стабильного выпуска Debian 13 trixie исправление включено в APT 3.0.4. Обновление также устраняет несколько ошибок обращения к памяти за границами выделенной области. Debian рекомендует пользователям обновить пакеты APT и при необходимости свериться с общими инструкциями по установке security-обновлений.
Трекер безопасности Debian содержит сведения и для других веток. В Debian 12 bookworm уязвимой указана версия 2.6.1, а исправленной — 2.6.2, выпущенная через рекомендацию DLA-4880-1. Для trixie уязвимой отмечена версия 3.0.3. В ветке unstable исправлением названа версия 3.3.6; на момент данных трекера forky и sid с версией 3.3.5 всё ещё числились уязвимыми.
В предупреждении не сообщается о реальных случаях эксплуатации. Основное практическое действие — установить исправленную версию из официального репозитория соответствующего выпуска Debian и проверить актуальный статус пакета в security-трекере, особенно если система использует testing или unstable.