蓝点网 ·

Debian修复APT软件包管理器漏洞攻击者可替换软件包并以root执行代码

💡 原文中文，约1100字，阅读约需3分钟。

📝

内容提要

Debian安全团队发布公告，修复APT软件包管理器漏洞CVE-2026-109518。攻击者在中间人攻击条件下，可利用HTTP重定向和断点续传缺陷，在软件包验证后将其替换，并以root权限执行代码。该漏洞影响Debian 12和13，已分别通过APT 2.6.2和3.0.4版修复，建议用户尽快升级APT至最新版。

🔎

延伸解读

漏洞利用的关键条件

该漏洞并非无条件触发，攻击者需要具备中间人攻击条件，即能够拦截并篡改用户与软件源之间的下载流量。在此基础上，攻击者利用HTTP重定向和断点续传处理缺陷，在软件包通过验证后将其替换。这意味着攻击者需先处于网络路径的关键位置，普通远程攻击者无法直接利用。

影响范围与修复版本

漏洞影响Debian 12和13两个版本。Debian 13稳定版已通过APT 3.0.4修复，Debian 12用户则需升级至APT 2.6.2。此次更新还处理了多个越界访问问题。用户应确认自身Debian版本，并升级到对应的APT修复版本，而非仅更新其他软件包。

升级操作与验证

Debian 13用户可通过系统已配置的软件源执行“sudo apt update”和“sudo apt install --only-upgrade apt”完成升级，随后用“apt --version”检查版本是否为3.0.4。Debian 12用户应确认APT版本达到2.6.2。由于漏洞位于APT自身，升级APT是修复的关键步骤。

❓

Q&A

Debian APT 最近修复了什么安全漏洞？

Debian 安全团队修复了 APT 软件包管理器中的漏洞 CVE-2026-109518，该漏洞允许攻击者在中间人攻击条件下替换软件包并以 root 权限执行代码。

这个 APT 漏洞是如何被攻击者利用的？

攻击者需具备中间人攻击条件，利用 APT 在 HTTP 重定向和断点续传处理上的缺陷：当两个不同的软件包下载请求经重定向指向相同 URL 时，APT 可能合并下载；同时恢复下载时文件处理存在缺陷。攻击者借此在软件包通过验证后替换文件，最终以 root 权限执行恶意代码。

哪些 Debian 版本受此漏洞影响？

该漏洞影响 Debian 12 和 Debian 13。

如何修复 Debian 13 上的 APT 漏洞？

将 APT 升级到 3.0.4 版即可修复。可运行：sudo apt update && sudo apt install --only-upgrade apt，完成后用 apt --version 检查版本。

Debian 12 用户应该升级 APT 到哪个版本？

Debian 12 用户应升级到 APT 2.6.2 版以修复该漏洞。

谁发现了这个 APT 漏洞？

该漏洞由独立安全研究员马克斯・贾斯蒂茨 (Max Justicz) 发现。

🏷️