Faille APT sur Debian et Ubuntu : corriger CVE-2026-109518

5 novembre 2026 0 Par eternos974

Une mise à jour de sécurité devrait être l’un des gestes les plus rassurants pour un administrateur Linux. Pourtant, une vulnérabilité découverte dans APT, le gestionnaire de paquets de Debian, Ubuntu et de nombreuses distributions dérivées, permet précisément de détourner cette opération. Référencée CVE-2026-109518, la faille peut conduire à l’installation d’un paquet non vérifié et à l’exécution de code avec les privilèges root, c’est-à-dire le niveau d’accès le plus élevé du système.

La découverte revient au chercheur Max Justicz. Debian et Canonical ont publié leurs avis de sécurité et des correctifs le 4 novembre 2026. Ubuntu attribue à la vulnérabilité un score CVSS 4.0 de 7,7/10, classé « élevé », tandis que les développeurs d’APT soulignent sa gravité potentielle. Il ne s’agit pas d’une prise de contrôle automatique de n’importe quel ordinateur connecté à Internet : l’attaquant doit pouvoir manipuler le trafic HTTP utilisé pour récupérer les paquets, par exemple en contrôlant un proxy, un miroir malveillant ou un point du réseau situé sur le trajet.

Cette condition ne rend pas le problème anodin. APT est un composant central des postes de travail, serveurs, machines virtuelles et infrastructures automatisées. Lorsqu’un administrateur installe un logiciel ou applique des correctifs, les scripts de maintenance contenus dans un paquet .deb peuvent être exécutés en root. Si le fichier a été substitué après les contrôles de sécurité, c’est toute la machine qui peut être compromise.

Pour comprendre l’attaque, il faut distinguer deux étapes : vérifier qu’un paquet correspond bien aux informations signées de l’archive, puis installer ce paquet. Normalement, les signatures des dépôts Debian et Ubuntu protègent contre la modification d’un téléchargement. La faille exploite un décalage entre ce qui a été contrôlé et ce qui est finalement utilisé, un scénario de type « time-of-check to time-of-use ».

Le problème se trouve dans le traitement de certains liens physiques (« hard links ») lorsque le module HTTP d’APT rencontre des redirections et reprend un téléchargement après une erreur temporaire. Dans certaines circonstances, deux opérations peuvent être rapprochées alors qu’elles ne devraient pas l’être. Un attaquant capable de modifier les réponses HTTP peut alors amener APT à réutiliser un fichier différent de celui qu’il a vérifié. Le résultat est particulièrement dangereux : un paquet contrôlé par l’attaquant peut être installé malgré l’échec de sa vérification.

L’exploitation nécessite notamment que le paramètre Acquire::Retries soit supérieur à zéro. C’est le comportement par défaut depuis Debian 12 et Ubuntu 22.04 LTS, ainsi que dans leurs versions ultérieures. Les éditions plus anciennes ne sont pas exposées par défaut dans cette configuration, mais peuvent l’être si un script ou un administrateur a activé les nouvelles tentatives. La faille concerne le moteur APT, qu’on utilise apt, apt-get, aptitude ou un outil graphique reposant sur la même bibliothèque. Les installations Snap passent par un autre mécanisme et ne sont pas concernées par ce vecteur précis.

Les correctifs sont disponibles et leur installation doit être prioritaire sur les machines exposées. Debian annonce APT 3.0.4 pour Debian 13 « Trixie » et 2.6.2 pour Debian 12 « Bookworm ». Canonical indique notamment 2.4.15ubuntu0.1 pour Ubuntu 22.04 LTS, 2.8.4ubuntu0.1 pour Ubuntu 24.04 LTS et 3.2.1ubuntu0.1 pour Ubuntu 26.04 LTS. Les versions prises en charge plus anciennes disposent également de mises à jour selon leur canal de support, notamment Ubuntu Pro. Pour les branches testing ou instables, il faut consulter le suivi officiel : les paquets disponibles peuvent évoluer rapidement.

La difficulté est que le correctif lui-même est téléchargé par APT. Canonical recommande donc une précaution simple : désactiver temporairement les nouvelles tentatives pendant l’opération. La commande proposée est « sudo apt update && sudo apt upgrade -o Acquire::Retries=0 ». Elle évite d’emprunter le chemin d’exécution vulnérable pendant la phase d’installation. Il est également possible de basculer les sources de paquets de HTTP vers HTTPS si le miroir le permet : le chiffrement TLS empêche un intermédiaire réseau de modifier le trafic nécessaire à cette attaque. Cette mesure de réduction du risque ne remplace pas l’installation du correctif.

Après la mise à jour, l’administrateur peut vérifier la version des paquets issus de la source APT avec « apt list –installed ‘?source-package(^apt$)’ », puis la comparer à l’avis de sécurité correspondant à sa distribution. Sur un serveur de production, il convient aussi de vérifier les dépôts tiers, les proxys de cache et les procédures d’actualisation automatisées, sans présumer que le seul système d’exploitation a déjà tout corrigé.

L’impact dépasse largement l’ordinateur personnel. Un serveur web, un VPS, un poste d’administration, un nœud de calcul ou une machine utilisée pour construire des images de conteneurs peuvent tous dépendre d’APT. Dans une infrastructure, l’installation d’un paquet compromis avec les droits root peut ouvrir la voie à l’exfiltration de secrets, à l’altération des services ou à la propagation vers d’autres systèmes. Ce sont des conséquences possibles d’une compromission, pas des incidents observés et attribués à cette CVE.

La vulnérabilité illustre une faiblesse classique de la chaîne d’approvisionnement logicielle : vérifier une signature ne suffit pas si le fichier validé n’est plus celui qui sera installé. Les mécanismes de sécurité doivent garantir la continuité entre téléchargement, vérification et exécution. C’est d’autant plus important que les mises à jour sont souvent automatisées et exécutées avec des privilèges élevés.

Au moment de la publication des premiers avis, aucune exploitation active n’était publiquement signalée. Cela ne justifie pas d’attendre : les conditions techniques sont désormais documentées et les correctifs existent. Pour les administrateurs, la priorité est de mettre à jour APT avec les précautions indiquées, puis de vérifier les versions et les sources de dépôts. Pour les autres utilisateurs, la bonne nouvelle est que Debian et Ubuntu ont réagi rapidement. L’épisode rappelle surtout qu’un outil conçu pour sécuriser un système doit lui-même faire l’objet d’une surveillance et d’une maintenance rigoureuses.