CVE-2014-0487
WysokieStreszczenie
APT w wersjach przed 1.0.9 nie weryfikuje pobranych plików, jeśli zostały one zmodyfikowane, co jest wskazywane przez nagłówek If-Modified-Since. Może to prowadzić do nieokreślonych skutków i wektorów ataku.
Ocena ryzyka
Brak weryfikacji pobranych plików stwarza ryzyko, że złośliwe lub nieautoryzowane pliki mogą zostać zaakceptowane przez system, co może prowadzić do kompromitacji bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację APT do wersji 1.0.9 lub nowszej, aby zapewnić odpowiednią weryfikację pobieranych plików.
Inne podatności w APT
Zobacz wszystkie- CVE-2014-0489Wysokie
APT w wersjach przed 1.0.9, przy włączonej opcji Acquire::GzipIndexes, nie weryfikuje sum kontrolnych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pakietu.
- CVE-2026-109518Wysokie
W systemach Debian, Ubuntu i pochodnych dystrybucjach Linux atakujący w ścieżce mogący manipulować ruchem HTTP (w tym złośliwe lustro lub proxy) między klientem APT a serwerem archiwum podczas instalacji pakietu może nakłonić klienta do zainstalowania niezweryfikowanego pakietu kontrolowanego przez atakującego i uzyskać zdalne wykonanie kodu z uprawnieniami roota. Podatność wynika z ponownego użycia twardych dowiązań i wymaga, aby klient podążał za przekierowaniami i ponawiał pobieranie plików pakietów. Wymaga niezerowego ustawienia Acquire::Retries; wartość 3 jest domyślna od Debian 12 (bookworm) i Ubuntu 22.04 LTS (Jammy Jellyfish), więc starsze wersje są odporne w domyślnej konfiguracji.
Oryginalny opis (angielski, źródło NVD)
APT before 1.0.9 does not verify downloaded files if they have been modified as indicated using the If-Modified-Since header, which has unspecified impact and attack vectors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS