DebianとUbuntuは、APTパッケージマネージャーの脆弱性CVE-2026-109518に対処するセキュリティアップデートを公開しました。この脆弱性を悪用すると、HTTP通信を制御できる攻撃者がダウンロード中のパッケージをすり替え、root権限で任意のコードを実行できます。
セキュリティ勧告は2026年11月4日に公開され、発見者として研究者のMax Justicz氏の名前を挙げています。攻撃では、リダイレクトとダウンロードの再試行を細工することで、先に実施される検証をすり抜けた未検証のパッケージがインストールされてしまいます。
この脆弱性は、特定のダウンロード条件下で、Debian、Ubuntuおよびその派生ディストリビューションに影響します。Canonicalによると、攻撃者は通信経路上に位置する立場にあり、悪意あるアーカイブミラーやプロキシもこれに含まれます。攻撃者はAPTクライアントとアーカイブサーバー間の通信を操作します。
その結果、root権限でのリモートコード実行が発生します。公開されたアプリケーションサービスを必要とする攻撃とは異なり、この攻撃では、被害者がパッケージのインストールを開始することと、攻撃者がHTTPのダウンロード経路に介入できることが前提となります。
Debianの説明によると、HTTPリダイレクトによって2つの別個のパッケージダウンロードに同じURIが割り当てられた場合、APTはこれらを統合することがあります。さらに、中断したHTTP転送の再開時にファイルの扱いが不適切なため、検証後にパッケージをすり替えられてしまいます。
Canonicalは、根本的な原因として、リダイレクトと再試行の際のハードリンクの不適切な処理を挙げています。これらの挙動が重なると、APTが検証したパッケージデータと実際にインストールするデータとの間に隙が生じ、パッケージインストールを保護する完全性の境界が破られます。
提供されたCVEレコードは、この欠陥をCWE-62（UNIXハードリンク）およびCWE-367（競合状態の一種であるTOCTOU）に分類しています。深刻度はHighで、CVSS 4.0スコアは7.7です。
悪用には、Acquire::Retriesがゼロ以外に設定されていることに加え、リダイレクトとパッケージダウンロードの再試行が必要です。
レコードによると、再試行回数3回がデフォルトになったのはDebian 12とUbuntu 22.04 LTSからです。それ以前のリリースはデフォルト設定では影響を受けませんが、再試行を有効にした構成では、影響を受けるバージョンが攻撃にさらされる可能性があります。
DebianのDSA-6607-1は、コードネーム「trixie」のDebian 13向けにAPT 3.0.4で問題を修正しています。同アップデートでは、複数の境界外アクセスの問題も修正されましたが、勧告にそれぞれの技術的な詳細は記載されていません。
Debianは、インストール済みのAPTパッケージをアップグレードするよう推奨しています。ディストリビューションごとの対応状況については、セキュリティトラッカーを参照するよう管理者に案内しています。
勧告は、root権限での実行リスクの原因を、検証後のパッケージすり替えに限定しています。あわせて修正されたメモリアクセス関連の問題を、同じ攻撃によるものとは説明していません。
UbuntuのUSN-8996-1は、14.04 LTSから26.10までのリリースに対する修正を提供しています。更新後のAPTのバージョンは、Ubuntu 22.04 LTSが2.4.15ubuntu0.1、24.04 LTSが2.8.4ubuntu0.1、26.04 LTSが3.2.1ubuntu0.1、26.10が3.3.3ubuntu0.1です。
古いリリースには、該当するUbuntu ProまたはLegacy Supportのチャネルを通じて修正パッケージが提供されます。Canonicalは、通常のシステムアップデートで必要な変更が適用されるとしています。
管理者は、ディストリビューションの異なるブランチ間でバージョン番号を比較するのではなく、使用しているリリース向けの修正済みバージョンとインストール済みのAPTパッケージを照合する必要があります。
攻撃が成立する決め手となる条件は、攻撃者が制御するHTTP通信、リダイレクトの処理、ダウンロードの再試行、そして影響を受けるAPTのビルドです。
パッケージマネージャーを更新すれば、ハードリンクの不具合は解消されます。この不具合により、パッケージのダウンロードとインストールの過程で、攻撃者が制御する未検証のパッケージがインストールされてしまいます。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/debian-ubuntu-fix-apt-security-flaw/
