PT-2026-137000

CVE-2026-109518

تاريخ النشر

2026-11-04

تاريخ التحديث

2026-11-06

الوصف من

CVSS 4.0

7.7

عالية

المقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

اسم البرنامج المصاب والإصدارات المتأثرة APT الإصدارات السابقة لـ 3.0.4

الوصف يمكن لمهاجم موجود على المسار (on-path) قادر على التلاعب بحركة مرور HTTP، مثل استخدام خادم مرآة أو وكيل خبيث، خداع عميل APT لتثبيت حزمة غير مفحوصة وتحقيق تنفيذ عن بُعد للكود بصلاحيات الجذر (root). تنبع المشكلة من حالة سباق TOCTOU (وقت الفحص مقابل وقت الاستخدام) مقترنة بارتباك الروابط الصلبة (hard-links) أثناء استئناف تنزيلات HTTP. عندما يؤدي إعادة التوجيه إلى تعيين نفس العنوان لتنزيلين مختلفين، قد يقوم APT بدمجهما ومعالجة الملف بشكل خاطئ، مما يسمح للمهاجم باستبدال أرشيف .deb تم التحقق منه بمحتوى خبيث قبل التثبيت. يتطلب هذا الاستغلال أن يقوم العميل باتباع عمليات إعادة التوجيه وأن يكون لديه إعداد Acquire::Retries بقيمة غير صفرية. وبينما تمنع مصادر HTTPS هذا الهجوم، لا يزال بإمكان خادم مرآة مستودع مخترق تحفيز سير العمل المصاب.

التوصيات تحديث APT إلى الإصدار 3.0.4 أو أحدث. كإجراء تخفيف مؤقت، قم بتعيين إعداد Acquire::Retries إلى صفر لتعطيل محاولات التنزيل التلقائية.

قابلية الاستغلال

إصلاح

التأثيرات

الباحثون

المورّدون

المنتجات المتأثرة

تصنيف نقاط الضعف

CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition

CWE-62: UNIX Hard Link

المعرّفات ذات الصلة

CVE-2026-109518