Debian ve Ubuntu'da APT açığı CVE-2026-109518: araya giren saldırgan imzasız paketi root yetkisiyle kurdurabiliyor
APT paket yöneticisindeki açık, HTTP trafiğine müdahale edebilen bir saldırganın doğrulanmamış bir paketi kurdurmasına ve root yetkisiyle kod çalıştırmasına yol açabiliyor. Debian 12 ve Ubuntu 22.04 sonrası varsayılan ayarlar etkileniyor; Debian'da düzeltme bookworm için 2.6.2, trixie için 3.0.4 sürümünde.
CVE-2026-109518
Debian, Ubuntu ve türev dağıtımların paket yöneticisi APT'de bulunan CVE-2026-109518, 4 Kasım'da Debian (DSA-6607-1, DLA-4880-1), Canonical ve APT geliştiricileri tarafından duyuruldu. Debian güvenlik takip kaydına göre APT istemcisi ile arşiv sunucusu arasındaki HTTP trafiğine müdahale edebilen bir saldırgan, buna kötü niyetli bir mirror ya da proxy de dahil, bir paket kurulumu sırasında istemciye doğrulanmamış bir paketi kurdurabiliyor ve root yetkisiyle kod çalıştırabiliyor. Açığın kökeninde hard link'lerin yeniden kullanımı var; istemcinin yönlendirmeleri izlemesi ve paket indirmesini yeniden denemesi gerekiyor.
Koşul, Acquire::Retries ayarının sıfırdan farklı olması. Bu değer Debian 12 (bookworm) ve Ubuntu 22.04 LTS'ten itibaren varsayılan olarak 3; daha eski sürümler varsayılan yapılandırmada etkilenmiyor. Debian, Canonical ve APT projesi aktif istismar bildirmedi; açık CISA KEV kataloğunda yer almıyor. Yayımlanan raporlarda CVSS 4.0 puanı 7.7 olarak geçiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Debian 12 (bookworm) apt | 2.6.1 | 2.6.2 (bookworm-security) |
| Debian 13 (trixie) apt | 3.0.3 | 3.0.4 (trixie-security) |
| Debian forky / sid apt | 3.3.6 öncesi | 3.3.6 / 3.3.7 |
| Ubuntu 22.04 LTS ve sonrası apt | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
Ubuntu sürümleri için Canonical'ın güvenlik bildirimindeki ve CVE kaydındaki paket listesini esas alın. Türev dağıtımlar kendi bildirimlerini yayımlar.
Beni etkiliyor mu?
Kurulu APT sürümünü ve yeniden deneme ayarını salt okunur komutlarla kontrol edin:
dpkg -s apt | grep Version
dpkg -l apt
grep -ri "Acquire::Retries" /etc/apt/apt.conf /etc/apt/apt.conf.d/
cat /etc/os-releaseKurulu sürüm yukarıdaki düzeltilmiş sürümden eskiyse ve Acquire::Retries açıkça 0 yapılmamışsa (Debian 12 ve Ubuntu 22.04 sonrası varsayılan 3), sistem etkilenen aralıkta. Depo adreslerinin HTTP mi HTTPS mi olduğunu görmek için /etc/apt/sources.list ve /etc/apt/sources.list.d/ altındaki dosyalara bakın.
Ne yapılmalı?
- APT paketini dağıtımınızın güvenlik deposundaki düzeltilmiş sürüme yükseltin; sunucu filolarında değişikliği yama yönetimi aracınız üzerinden planlı bir change olarak dağıtın. Bu güncellemenin kendisi de APT ile indirileceği için güncellemeyi güvendiğiniz bir ağdan ve mirror'dan yapın.
- Hemen güncelleyemediğiniz sistemlerde geçici önlem olarak paket kurulumlarını güvenilmeyen ağlardan (otel, misafir Wi-Fi, bilinmeyen proxy) yapmayın; depo erişimini kurum içi, kontrollü bir mirror ya da HTTPS üzerinden sağlamayı değerlendirin.
Acquire::Retriesayarının sıfırlanması etkiyi ortadan kaldırma koşulu olarak kaynaklarda geçiyor, ancak bu ayar değişikliğini yapmadan önce kendi değişiklik sürecinizle değerlendirin. - Konteyner imajlarını ve CI runner'larını unutmayın: Debian ve Ubuntu tabanlı imajları güncel taban imajla yeniden oluşturun.
- Kendi mirror ya da proxy sunucularınızın bütünlüğünü ve erişim loglarını gözden geçirin; beklenmedik yönlendirme ya da 5xx yanıtlarını izleyin.
- Aynı hafta yayımlanan diğer Linux düzeltmeleri için OpenSSH Alpine açığı gibi haberlerimize de göz atın ve paket envanterinizi güncel tutun.
