Un fallo en APT deja colar paquetes en Debian y Ubuntu

Debian, Ubuntu y los desarrolladores de APT publicaron el 4 de noviembre avisos de seguridad por una vulnerabilidad en el gestor de paquetes que usan esas distribuciones y sus derivadas. Identificado como CVE-2026-109518 y descubierto por Max Justicz, el fallo permite a un atacante situado entre el equipo y el servidor de paquetes sustituir un paquete ya verificado por otro suyo. Como los scripts de un paquete .deb se ejecutan con privilegios de administrador al instalarse, el resultado es código del atacante corriendo como root.

Canonical lo califica de gravedad alta, con una puntuación CVSS 4.0 de 7,7, y ya ha publicado parches para todas sus versiones afectadas.

Qué falla y cuándo es explotable

Según el aviso de Debian, APT puede mezclar dos descargas de paquetes distintas cuando una redirección HTTP les asigna la misma URI. A eso se suma un manejo incorrecto de los ficheros al reanudar una descarga HTTP interrumpida, que permite cambiar el paquete después de que haya pasado la verificación. En palabras de Canonical, el fallo engaña a APT para que instale un paquete aunque no supere la comprobación de firma, que es precisamente lo que normalmente protege contra este tipo de ataque.

No basta con estar en la misma red. Hacen falta varias condiciones:

• Que el equipo descargue paquetes por HTTP. Canonical explica que HTTPS protege frente a este ataque y que otros transportes, como FTP, no están afectados.
• Que APT reintente las descargas fallidas, algo que controla la opción Acquire::Retries. Está activada por defecto desde APT 2.3.2; en Ubuntu, eso significa la 22.04 LTS y posteriores. Las versiones anteriores solo son vulnerables si alguien la ha activado, algo que, según la lista de desarrolladores de APT, hacían muchos scripts.
• Que el sistema vaya a instalar o actualizar algún paquete .deb.

Afecta a cualquier interfaz basada en APT: apt, apt-get, aptitude o las aplicaciones gráficas de Ubuntu. Los snaps quedan fuera porque usan otro sistema. Canonical añade que un espejo de paquetes malicioso también podría aprovechar el fallo para servir paquetes sin firmar, un riesgo que desaparece en cuanto el cliente está actualizado.

Qué hay que hacer

En Debian, la versión estable (trixie) tiene la corrección en APT 3.0.4, que además arregla varios accesos fuera de límites en memoria. El aviso no detalla qué ocurre con versiones anteriores de Debian.

En Ubuntu hay versiones corregidas desde la 14.04 hasta la 26.10. Para comprobar cuál tienes instalada, Canonical propone apt list --installed '?source-package(^apt$)' y comparar con su tabla de versiones. Para actualizar sin exponerse durante el propio proceso, recomienda desactivar temporalmente los reintentos:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

Quien tenga activas las actualizaciones desatendidas, presentes por defecto desde Ubuntu 16.04, recibirá el parche en un plazo de 24 horas. Ojo con las versiones antiguas: la 22.04 y posteriores lo reciben con el soporte estándar, pero la 20.04 y anteriores solo a través de la suscripción Ubuntu Pro.

Como medida adicional, Canonical sugiere cambiar las direcciones http:// por https:// en las fuentes de APT antes de actualizar si no se puede descartar a alguien interceptando el tráfico. Advierte, eso sí, de que algunos espejos comunitarios, incluidos varios nacionales, no admiten HTTPS. Debian y la lista de desarrolladores de APT apuntan también a añadir Acquire::Retries 0; al fichero apt.conf como mitigación.

El episodio deja una lección incómoda: la firma de paquetes es una protección sólida, pero un error en el código que la aplica basta para dejarla sin efecto si el canal de descarga va en claro.

Fuentes: oss-security, Canonical, The Hacker News