Questo post é stato letto 150 volte!
Una significativa falla APT è stata scoperta nel gestore di pacchetti Advanced Package Tool (APT), presente in Ubuntu, Debian e altre distribuzioni Linux. Questa vulnerabilità, identificata come CVE-, potrebbe consentire a un attaccante di aggirare i controlli di sicurezza e installare software dannoso con privilegi di root sui sistemi interessati. Il problema riguarda un componente essenziale per l'installazione e l'aggiornamento di applicazioni e librerie.
Dettagli della falla APT
La vulnerabilità è stata individuata dal ricercatore Max Justicz e resa pubblica il 4 novembre 2026. Nonostante il sistema APT utilizzi firme crittografiche e controlli di integrità per garantire la sicurezza dei pacchetti, la falla dimostra che errori nella gestione dei file già verificati possono compromettere l'efficacia di queste protezioni. Canonical ha classificato la vulnerabilità con gravità "High", assegnandole un punteggio CVSS 4.0 di 7,7, e ha già rilasciato aggiornamenti correttivi per tutte le versioni di Ubuntu interessate.
Il problema risiede nel componente HTTP di APT. Durante i tentativi di recupero di un file a seguito di un reindirizzamento HTTP o un errore temporaneo, APT può associare due download differenti, permettendo a un aggressore di sostituire un pacchetto dopo che la sua integrità è stata verificata. Questo è possibile grazie all'interazione tra reindirizzamenti HTTP, tentativi di download e l'uso degli hard link, che consentono a più nomi di file di riferirsi agli stessi dati.
Condizioni per lo sfruttamento della falla
Per sfruttare questa falla APT, l'aggressore deve essere in grado di manipolare il traffico HTTP tra il computer vittima e il repository dei pacchetti. Ciò implica il controllo di un proxy, di un mirror malevolo o la capacità di intercettare il traffico di rete. Inoltre, il sistema deve avviare un'installazione o un aggiornamento che comporti il download di un pacchetto .deb, con una specifica sequenza di reindirizzamenti e tentativi di recupero.
Un altro requisito è che l'opzione `Acquire::Retries` di APT sia impostata su un valore maggiore di zero. Le versioni di Ubuntu 22.04 LTS e successive sono vulnerabili con le impostazioni predefinite, mentre le versioni precedenti lo sono solo se i tentativi automatici sono stati abilitati manualmente. È importante notare che l'utilizzo di HTTPS con TLS impedisce lo sfruttamento della vulnerabilità da parte di intermediari, poiché la falla richiede la manipolazione del traffico HTTP non cifrato.
Come proteggersi dalla falla
Canonical ha rilasciato le correzioni nel bollettino USN-8996-1, con versioni aggiornate di APT disponibili per diverse release di Ubuntu, inclusi i canali di manutenzione estesa. Anche Debian ha rilasciato un aggiornamento per Debian 13 Trixie.
Per verificare la configurazione e installare le patch in sicurezza, si consiglia di utilizzare il comando `sudo apt update && sudo apt upgrade -o Acquire::Retries=0`. Questo disabilita temporaneamente i tentativi di download, impedendo lo sfruttamento della vulnerabilità durante l'aggiornamento. È anche consigliabile verificare che i repository utilizzino URL HTTPS, modificando i file di configurazione in `/etc/apt/sources.list` e `/etc/apt/sources.list.d/`. La falla non interessa l'installazione tramite Snap, che utilizza un meccanismo differente.
Questo post é stato letto 150 volte!