CVE-2026-109518

Nome do Software Vulnerável e Versões Afetadas APT versões anteriores a 3.0.4

Descrição Um atacante on-path capaz de manipular o tráfego HTTP, como por meio de um mirror ou proxy malicioso, pode enganar um cliente APT para instalar um pacote não verificado, alcançando a execução remota de código com privilégios de root. O problema decorre de uma condição de corrida TOCTOU (Time-of-Check to Time-of-Use) combinada com confusão de hard-links durante a retomada de downloads HTTP. Quando um redirecionamento atribui o mesmo endereço a dois downloads diferentes, o APT pode mesclá-los e manipular incorretamente o arquivo, permitindo que um atacante substitua um arquivo .deb já verificado por conteúdo malicioso antes da instalação. A exploração requer que o cliente siga redirecionamentos e possua uma configuração Acquire::Retries diferente de zero. Embora fontes HTTPS bloqueiem este ataque, um mirror de repositório comprometido ainda pode acionar o fluxo de trabalho vulnerável.

Recomendações Atualize o APT para a versão 3.0.4 ou superior. Como mitigação temporária, defina a configuração Acquire::Retries como zero para desativar as tentativas automáticas de download.