Podatności APT

APT w wersjach przed 1.0.9, przy włączonej opcji Acquire::GzipIndexes, nie weryfikuje sum kontrolnych, co pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanego pakietu.

APT w wersjach przed 1.0.9 nie weryfikuje pobranych plików, jeśli zostały one zmodyfikowane, co jest wskazywane przez nagłówek If-Modified-Since. Może to prowadzić do nieokreślonych skutków i wektorów ataku.

W systemach Debian, Ubuntu i pochodnych dystrybucjach Linux atakujący w ścieżce mogący manipulować ruchem HTTP (w tym złośliwe lustro lub proxy) między klientem APT a serwerem archiwum podczas instalacji pakietu może nakłonić klienta do zainstalowania niezweryfikowanego pakietu kontrolowanego przez atakującego i uzyskać zdalne wykonanie kodu z uprawnieniami roota. Podatność wynika z ponownego użycia twardych dowiązań i wymaga, aby klient podążał za przekierowaniami i ponawiał pobieranie plików pakietów. Wymaga niezerowego ustawienia Acquire::Retries; wartość 3 jest domyślna od Debian 12 (bookworm) i Ubuntu 22.04 LTS (Jammy Jellyfish), więc starsze wersje są odporne w domyślnej konfiguracji.