NetSafe.TW

全部 · 網路安全 · AI 革命 · 3C安全 · 其他

Ubuntu、Debian 的 APT 爆漏洞 CVE-2026-109518：中間人可把已驗證套件調包、以 root 執行，22.04 起預設受影響，請立刻更新 apt

作者

福寶小編

Ubuntu 與 Debian 的套件管理工具 APT 被發現漏洞 CVE-2026-109518。只要攻擊者能竄改電腦和套件伺服器之間的 HTTP 流量（例如惡意鏡像站、代理伺服器，或同一個網路裡的攻擊者），就可能讓 APT 把已經通過簽章驗證的套件換成攻擊者的版本，安裝時以 root 權限執行。Canonical 與 Debian 已在 11 月 4 日發布修補，Ubuntu 22.04 LTS 以後的版本在預設設定下就受影響，建議盡快更新 apt。

事件經過

  • 2026 年 11 月 4 日，Ubuntu 發布安全公告 USN-8996-1，Debian 同日發布 DSA-6607-1（Debian 13）與 DLA-4880-1（Debian 12），修補 APT 的 CVE-2026-109518。
  • 漏洞由研究員 Max Justicz 發現並通報。他在 2019 年也曾發現 APT 的 HTTP 重新導向漏洞 CVE-2019-3462。
  • 根據 Debian 的說明，HTTP 重新導向可能讓兩個不同套件的下載指向同一個網址，APT 會把它們合併；在續傳 HTTP 下載時檔案處理不當（硬連結被重複使用），讓中間人可以在驗證完成之後把套件換掉，最後以 root 執行任意程式碼。
  • Ubuntu 給的 CVSS 4.0 分數為 7.7（High），向量為 CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N，GitHub Advisory Database 列出的分數相同。
  • 截至 11 月 4～5 日的報導與官方公告，都沒有提到已經有人實際利用這個漏洞攻擊。

重點

  • 要同時符合幾個條件才會中招：系統正在安裝或更新 .deb 套件、攻擊者能竄改 HTTP 流量，而且 APT 會重試失敗的下載（Acquire::Retries 不是 0）。
  • Ubuntu 22.04 LTS、Debian 12 起預設就受影響：這兩個版本開始，Acquire::Retries 預設為 3。Ubuntu 20.04 LTS、Debian 11 等較舊版本在預設設定下不受影響，但如果自己或腳本把重試打開了，一樣有風險。
  • 換成 apt-get、aptitude 或圖形介面更新也一樣：漏洞在 APT 函式庫的 HTTP 下載模組，所有用 APT 的前端都受影響。
  • HTTPS 套件來源可以擋下：Canonical 表示，攻擊需要竄改 HTTP 流量，改用 HTTPS（TLS）就能防止；FTP 等其他傳輸方式不受影響。
  • Snap 不受影響：Canonical 表示 snap 用的是另一套套件管理系統。
  • 惡意鏡像站也能利用：平常套件簽章能防鏡像站被動手腳，但這個漏洞讓簽章驗證失效；更新 apt 之後，鏡像站被入侵就不再構成這個風險。
  • Debian 這次的 apt 更新還一併修了幾個越界存取（out-of-bounds）問題。

受影響版本與修補版本

發行版apt 修補版本取得方式
Ubuntu 26.103.3.3ubuntu0.1一般安全更新
Ubuntu 26.04 LTS3.2.1ubuntu0.1一般安全更新
Ubuntu 24.04 LTS2.8.4ubuntu0.1一般安全更新
Ubuntu 22.04 LTS2.4.15ubuntu0.1一般安全更新
Ubuntu 20.04 LTS2.0.12+esm1Ubuntu Pro（ESM）
Ubuntu 18.04 LTS1.6.19+esm1Ubuntu Pro（ESM）
Ubuntu 16.04 LTS1.2.36+esm1Ubuntu Pro＋Legacy Support
Ubuntu 14.04 LTS1.0.1ubuntu2.24+esm4Ubuntu Pro＋Legacy Support
Debian 13（trixie）3.0.4DSA-6607-1
Debian 12（bookworm）2.6.2DLA-4880-1
Debian unstable（sid）3.3.6—

版本號只能在同一個發行版內比較，不要拿 Debian 和 Ubuntu 的版本號互比。Debian testing（forky）在 11 月 4 日時仍是有漏洞的 3.3.5，請以 Debian 安全追蹤頁的最新狀態為準。APT 上游另外替 Debian 11 推出修補版 2.2.5，但 Debian 11 已經不在官方安全支援範圍內。

對你的實務建議

企業／IT 管理者

  • 先盤點版本：在每台 Ubuntu／Debian 主機上執行下面的指令，跟上表比對已安裝版本。
apt list --installed '?source-package(^apt$)'
apt-cache policy apt
  • 更新時暫時關掉重試：Canonical 建議安裝這次更新時加上 -o Acquire::Retries=0，避免「下載修補檔」這一步本身被利用。
# 更新所有套件（Canonical 建議）
sudo apt update && sudo apt upgrade -o Acquire::Retries=0
# 只更新 apt 相關套件
sudo apt update && sudo apt install -o Acquire::Retries=0 --only-upgrade '?source-package(^apt$)'
  • 網路路徑不可信時，先把套件來源改成 HTTPS：Canonical 提供的指令會把官方 archive、security、ports 網址改成 https，其他鏡像站或第三方套件庫不會被改到，改完要跑一次 sudo apt update 確認沒有錯誤（部分社群或國家鏡像站不支援 HTTPS）。
sudo sed -Ei 's!http://((([a-z]+\.)?archive|security|ports)\.ubuntu\.com)!https://\1!' /etc/apt/sources.list /etc/apt/sources.list.d/*.list /etc/apt/sources.list.d/*.sources
sudo apt update
  • 暫時無法更新的主機：在 apt 設定加入 Acquire::Retries 0; 可以暫時緩解，等更新完成後再評估是否改回。
  • 自動更新不等於已經修好：Ubuntu 16.04 起預設開啟 unattended-upgrades，大約 24 小時內會自動裝上安全更新；但內部鏡像站或 apt 快取代理還沒同步時，主機會看不到新版，請直接確認已安裝版本。
  • 容器映像檔與 VM 範本也要處理：更新主機不會改到映像檔裡的 apt，請重建 Docker 映像、更新基底映像與 VM／雲端範本。
  • Ubuntu 20.04 以前的版本：修補只透過 Ubuntu Pro（ESM／Legacy Support）提供，沒有訂閱的話，請確認 Acquire::Retries 沒被開啟，並規劃升級到仍在一般支援內的版本。
  • 衍生發行版：以 Debian／Ubuntu 為基礎的發行版也受影響，請查各自的安全公告。

一般用戶

  • 如果你的筆電或桌機裝的是 Ubuntu、Linux Mint 等 Debian 系發行版，請打開終端機執行 sudo apt update && sudo apt upgrade -o Acquire::Retries=0，或在「軟體更新」裝完所有更新。
  • 更新 apt 不需要重新開機。
  • 在咖啡廳、機場、飯店等公共 Wi-Fi 上，先不要安裝或更新軟體套件，等回到可信任的網路，或先完成 apt 更新再說。
  • 透過 Snap 商店安裝的軟體不受這個漏洞影響，但系統本身的 apt 還是要更新。

其他近期 Ubuntu 安全更新

Ubuntu 11 月 3 日也發布了以下幾則安全公告，有用到相關套件的話一起更新：

  • USN-8959-1 Linux 核心：修補 Ubuntu 26.04 LTS、24.04 LTS 核心多個漏洞（含 USB Gadget 驅動、記憶體管理等子系統），更新後需要重新開機；第三方核心模組要重新編譯。
  • USN-8973-1 libmspack：處理特製的 KWAJ 壓縮檔可能當掉或執行任意程式碼，影響 26.10、26.04 LTS、24.04 LTS、22.04 LTS。
  • USN-8981-1 Enlightenment：本機攻擊者可能透過 enlightenment_sys 取得管理員權限，影響 16.04～22.04 LTS，修補透過 Ubuntu Pro 提供。
  • USN-8991-1 rxvt-unicode：終端機顯示特製文字時可能被執行任意程式碼，影響 20.04 LTS、18.04 LTS、16.04 LTS。

資料來源

留言

發表留言