Внимание при користење на „apt upgrade“: хакерите можат да ги заменат проверените пакети и да достават малициозен софтвер

За да го изведат нападот, напаѓачите прво мора да преземат контрола врз мрежната комуникација.

Напаѓач кој се наоѓа помеѓу Linux-системот и неговиот сервер за преземање софтверски пакети (package mirror) може да искористи сериозна ранливост во APT за да ги замени легитимните пакети, дури и откако ќе биде потврдено дека се безбедни. Debian и Ubuntu објавија безбедносни ажурирања.

Debian и Ubuntu ја закрпија сериозната ранливост во APT, менаџер за управување со софтверски пакети што го користат главните Linux-дистрибуции.

APT користи нешифриран HTTP-протокол за преземање на пакетите. Напаѓачите кои се наоѓаат помеѓу системот и серверот можат да го заменат пакетот по неговата безбедносна проверка, што може да резултира со произволно извршување код со root-привилегии.

Безбедносниот истражувач Макс Јустич (Max Justicz) ја открил, пријавил и помогнал во отстранувањето на оваа ранливост, означена како CVE-2026-109518. Ранливоста има оцена 7,7 од 10 според скалата за сериозност, но нејзината успешна експлоатација потенцијално може да доведе до целосна компромитација на системот со релативно мал напор.

„Напаѓач кој се наоѓа на патеката на мрежната комуникација и може да го менува HTTP-сообраќајот помеѓу системот и серверот со архиви може да предизвика инсталирање на злонамерна .deb-датотека со софтверски пакет и да добие root-привилегии на целниот систем“, предупреди Ubuntu во своето безбедносно известување.

Вообичаено, механизмот за проверка на дигиталните потписи би требало да заштити од ваков тип напад. Доколку hash-вредноста не се совпаѓа, APT одбива да го инсталира пакетот. Сепак, напаѓачите можат да искористат пропуст во начинот на кој APT се справува со прекинати преземања. Стандардно, APT се обидува повторно да го преземе пакетот трипати.

„Кога преземањето на пакетот ќе биде прекинато пред да заврши, APT повторно го започнува преземањето и продолжува од местото каде што застанало, наместо да започне од почеток“, објаснува StepSecurity во својот извештај.

Како функционира нападот?

Истражувачите ги опишале трите чекори што напаѓачот треба да ги преземе за успешно да го изведе нападот.

Предуслов е напаѓачот да се позиционира на патеката на комуникација помеѓу APT-клиентот и складиштето со софтверски пакети (repository). Тоа може да го постигне со поставување злонамерен mirror-сервер или proxy-сервер, или со преземање контрола врз одреден сегмент од мрежата.

Прв чекор: Напаѓачот пресретнува две барања за различни софтверски пакети и ги пренасочува кон иста URL-адреса. На овој начин го наведува APT да ги третира двете преземања како една иста датотека, создавајќи таканаречена hard link-врска меѓу нив. Hard links упатуваат на ист простор (inode) на уредот за складирање податоци.

Втор чекор: Напаѓачот привремено ги прекинува преземањата, испраќајќи HTTP-грешки од серверот, со што го принудува APT повторно да се обиде и да продолжи со преземањето од местото каде што било прекинато.

Трет чекор: Откако APT ќе потврди дека првиот пакет е легитимен, му верува на hash-записот, но неправилно се справува со врската меѓу датотеките. Продолженото преземање ја препишува датотеката поврзана преку hard link со злонамерната содржина на напаѓачот.

APT потоа го инсталира злонамерниот пакет со root-привилегии.

Секоја команда apt install или apt-get upgrade што презема софтверски пакети може да го активира нападот.

Од StepSecurity предупредуваат дека инфраструктурата за CI/CD е особено изложена на ризик.

„На CI-runner, тоа значи пристап до сè што може да достигне задачата: изворниот код, GITHUB_TOKEN, cloud-податоците за пристап, клучевите за дигитално потпишување и сите доверливи информации (secrets) што ѝ се доставени на задачата. При Docker-build, кодот на напаѓачот завршува вграден во image-датотека, која потоа се испорачува и извршува на друго место“, наведува StepSecurity.

„На лаптоп на програмер, тоа значи целосна компромитација на уредот и податоците за пристап зачувани на него.“

Достапни се безбедносни ажурирања

Ubuntu ги советува корисниците да бидат особено внимателни при ажурирањето на своите системи со цел отстранување на оваа конкретна ранливост, бидејќи вообичаената команда за APT-ажурирање може да биде злоупотребена од напаѓачи на мрежата за инсталирање малициозен софтвер.

Ubuntu препорачува користење команда со која се оневозможуваат повторните обиди за преземање за време на ажурирањето:

sudo apt update && sudo apt upgrade -o Acquire::Retries=0

„Откако корисниците ќе ја ажурираат библиотеката на APT-клиентот на крајниот систем, компромитираните mirror-сервери повеќе нема да претставуваат ризик“, се наведува во безбедносното известување на Ubuntu.

Ubuntu исто така препорачува овозможување TLS-шифрирање за корисниците кои имаат загриженост во врска со безбедноста на мрежната комуникација или сакаат да преземат дополнителни превентивни мерки во иднина.

Во своето безбедносно известување, Debian соопшти дека ажурирањето отстранува и неколку дополнителни проблеми поврзани со пристап надвор од дозволените граници на меморијата (out-of-bounds access).

APT треба да биде закрпен на секоја машина, контејнер, runner и друг клиентски систем што инсталира софтверски пакети.

Во моментот на објавување на извештајот, немало пријавени случаи на експлоатација на ранливоста во реални услови (in the wild).

Извори:

• Cybernews – Careful with “apt upgrade”: hackers can swap verified packages and deliver malware Cybernews