UCloud-202611-002:APT 软件包校验绕过漏洞安全公告

漏洞详情

APT 是 Debian、Ubuntu 及其衍生发行版使用的软件包管理工具，负责下载、校验和安装软件包。

APT 存在软件包校验绕过漏洞（CVE-2026-109518）。在通过 HTTP 下载软件包时，APT 对重定向、下载重试及硬链接的处理存在缺陷，攻击者可能使经过校验的文件被替换为未经校验的内容。Ubuntu 将该漏洞评为高危，CVSS 4.0 评分为 7.7。

利用该漏洞需要同时满足特定条件：系统正在安装 .deb 软件包，APT 使用 HTTP 获取软件包并跟随重定向，下载发生重试且 Acquire::Retries 不为 0；攻击者还需能够操纵客户端与软件源之间的 HTTP 流量，或控制恶意镜像站、代理。成功利用后，APT 可能安装攻击者提供的软件包；由于安装脚本可使用 root 权限执行，最终可能导致主机被控制。此问题影响调用 APT HTTP 后端的命令行及图形界面前端。

影响范围

使用 APT 的 Debian、Ubuntu 及其衍生发行版应检查实际安装的软件包版本及配置。Debian 12、Ubuntu 22.04 LTS 及更新版本默认启用下载重试；更早版本在将 Acquire::Retries 设置为非零值时也可能受影响。通过 HTTPS 获取软件包不会受到此 HTTP 中间人攻击路径影响，但仍建议安装安全更新。

已确认的修复版本

- Debian 12（bookworm）：apt 2.6.2 及以上

- Debian 13（trixie）：apt 3.0.4 及以上

- Debian 不稳定版（sid）：apt 3.3.6 及以上；其他开发分支以发行版安全跟踪器为准

- Ubuntu 26.10：apt 3.3.3ubuntu0.1 及以上

- Ubuntu 26.04 LTS：apt 3.2.1ubuntu0.1 及以上

- Ubuntu 24.04 LTS：apt 2.8.4ubuntu0.1 及以上

- Ubuntu 22.04 LTS：apt 2.4.15ubuntu0.1 及以上

- Ubuntu 20.04 LTS：apt 2.0.12+esm1 及以上（需相应扩展安全维护服务）

- Ubuntu 18.04 LTS：apt 1.6.19+esm1 及以上（需相应扩展安全维护服务）

- Ubuntu 16.04 LTS：apt 1.2.36+esm1 及以上（需相应扩展安全维护服务）

- Ubuntu 14.04 LTS：apt 1.0.1ubuntu2.24+esm4 及以上（需相应扩展安全维护服务）

其他衍生发行版及定制镜像应以各自软件源发布的安全更新为准，不宜仅按上游版本号判断是否已修复。

修复方案

官方升级修复

请尽快从可信的软件源安装对应发行版的 APT 安全更新。升级前可运行 apt-cache policy apt 检查已安装和候选版本；Ubuntu 系统也可使用 apt list --installed '?source-package(^apt$)' 检查来自 apt 源码包的已安装组件。完成升级后，再次核对实际安装版本。

为降低升级过程本身的暴露风险，Ubuntu 官方建议在本次更新命令中临时关闭下载重试，例如：

sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'

临时缓解措施

- 将 APT 软件源中的 HTTP 地址改为受信任且支持 HTTPS 的地址，并确认更新索引时不存在连接或证书错误；此措施可阻断本漏洞的 HTTP 流量劫持路径。

- 在补丁安装完成前，将 APT 的 Acquire::Retries 设为 0，可避免触发漏洞所需的下载重试条件；补丁安装命令可使用上面的临时参数。

- 排查 /etc/apt/sources.list 及 /etc/apt/sources.list.d/ 中的第三方源、代理和镜像站，优先使用可信来源。临时措施不能替代安全更新。

参考链接

- Debian 安全公告：https://lists.debian.org/debian-security-announce/2026/msg00526.html

- Debian 漏洞跟踪：https://security-tracker.debian.org/tracker/CVE-2026-109518

- Ubuntu 安全公告：https://ubuntu.com/security/notices/USN-8996-1

- Ubuntu 技术说明：https://ubuntu.com/blog/apt-vulnerability-fixes-available