Canonical publie des correctifs pour une faille APT de gravité élevée
La faille CVE-2026-109518, notée 7,7 sur l'échelle CVSS 4.0, permet à un attaquant sur le trajet réseau de faire installer un paquet .deb et d'obtenir les droits root.
Canonical a publié des paquets APT corrigés pour Ubuntu 14.04 LTS jusqu'à 26.10 afin de corriger la vulnérabilité CVE-2026-109518, classée High et affectant le gestionnaire de paquets APT utilisé par Debian, Ubuntu et les distributions dérivées. Selon gamingonlinux.com, Debian a également publié un avis de sécurité avec les versions corrigées.
La faille se situe dans le backend HTTP appelé par la bibliothèque APT et touche les interfaces telles que apt, apt-get, aptitude et les applications graphiques d'Ubuntu. Un attaquant capable de manipuler le trafic HTTP entre le système et un serveur d'archive pourrait déclencher l'installation d'un paquet .deb contrôlé par l'attaquant et obtenir les privilèges root. Le score CVSS 4.0 est de 7,7.
L'exploitation nécessite que le client réessaie un téléchargement échoué, ce qui est contrôlé par le paramètre Acquire::Retries ; Ubuntu 22.04 LTS et les versions ultérieures sont concernées par défaut. L'installation de paquets Snap n'est pas affectée, et l'utilisation de TLS via HTTPS protège contre la vulnérabilité.
Debian a corrigé le problème dans APT 3.0.4 pour la distribution stable (trixie), 3.3.6 pour Unstable et 2.6.2 pour Bookworm. La faille a été découverte et divulguée de manière responsable par le chercheur Max Justicz.
En bref
Quelles versions d'Ubuntu sont concernées par la faille APT CVE-2026-109518 ?
Ubuntu 22.04 LTS et les versions ultérieures sont affectées par défaut. Canonical a publié des paquets corrigés pour Ubuntu 14.04 LTS jusqu'à 26.10.
L'installation de paquets Snap est-elle affectée ?
Non, l'installation de paquets Snap n'est pas affectée par la vulnérabilité.
Quelles versions d'APT corrigent la faille sous Debian ?
Debian a corrigé le problème dans APT 3.0.4 pour la distribution stable (trixie), 3.3.6 pour Unstable et 2.6.2 pour Bookworm.