История неприятная тем, что ломает базовое допущение: «если apt сказал, что пакет проверен, значит, он проверен». Оказывается, при определённых условиях атакующий между вами и зеркалом может подсунуть свой пакет, и менеджер примет его как доверенный.
Оценка — CVSS 7.7, то есть «высокая», без паники, но и без недооценки. Уязвимость срабатывает при манипуляции HTTP-трафиком между APT и сервером пакетов: содержимое атакующего принимается при определённых условиях повторных попыток загрузки. Для этого нужно оказаться в цепочке — например, на публичном Wi-Fi, в скомпрометированной сети провайдера или на пути к зеркалу по HTTP.
Кто уязвим
В Debian 12 и Ubuntu 22.04 и новее конфигурация уязвима по умолчанию. В более старых выпусках — Debian 11 и Ubuntu 20.04 — только если включён параметр retry.
Активной эксплуатации пока не зафиксировано, и это хорошая новость: у администраторов есть время обновиться без спешки, но не без причины.
Что делать
Обновите APT штатным образом: исправленные версии уже в дистрибутивных репозиториях, и это тот случай, когда обновление не требует перезагрузки и почти не рискует сломать систему.
Дальше — гигиена транспорта. Если ваши зеркала доступны по HTTP, стоит перейти на HTTPS, а в идеале проверять, что сборочные и деплойные пайплайны тоже не тянут пакеты по незащищённому каналу. Уязвимость в APT — хороший повод проверить это во всей инфраструктуре: не только на ноутбуках разработчиков, но и на сборочных агентах, где root у атакующего означает уже не один сервер.
The story is unpleasant because it breaks a basic assumption: “if apt said the package is verified, it is verified”. It turns out that under certain conditions an attacker between you and the mirror can slip in their own package and the manager accepts it as trusted.
The score is CVSS 7.7 — high, not panicky, but not to be ignored. The flaw triggers when HTTP traffic between APT and a package server is manipulated: the attacker’s content is accepted under certain download-retry conditions. To pull it off, an attacker has to be in the path — on public Wi-Fi, in a compromised provider network, or on the route to an HTTP mirror.
Who is affected
In Debian 12 and Ubuntu 22.04 and later the configuration is vulnerable by default. On older releases — Debian 11 and Ubuntu 20.04 — only if the retry setting is enabled.
No active exploitation has been reported, which is good news: administrators have time to update without panic, but not without reason.
What to do
Update APT through the usual channels: fixed versions are already in the distribution repositories, and this is one of those updates that needs no reboot and is unlikely to break the system.
Then look at transport hygiene. If your mirrors are served over HTTP, move to HTTPS, and ideally verify that build and deploy pipelines are not pulling packages over an unprotected channel either. A flaw in APT is a good reason to check this across the whole estate: not just developers’ laptops, but build agents, where root for an attacker means more than one server.