Debian waarschuwt voor een ernstige kwetsbaarheid in packagemanager APT. Aanvallers kunnen die misbruiken door twee packages samen te voegen en zo via een ervan code met rootrechten uit te voeren. Debian heeft de kwetsbaarheid inmiddels verholpen.
Debian schrijft over die bug, die getrackt wordt als CVE-2026-109518. Het probleem is gerepareerd in de recente stable-distributie, Trixie, in versie 3.0.4.
Het gaat om een bug in packagemanager APT. Een beveiligingsonderzoeker vond daarin een mogelijkheid om twee verschillende packagedownloads samen te voegen. Dat kon omdat een HTTP-redirect dezelfde URI teruggeeft. Daarmee was het volgens de ontdekker mogelijk een package te vervangen door een ander, bijvoorbeeld eentje vol malware. Een aanvaller zou daarmee malware met rootrechten kunnen uitvoeren.
Source: Tweakers.net