Un ataque man-in-the-middle en apt permite ejecutar código como root en Debian
Debian apt security update (man-in-the-middle)
Max Justicz descubrió una vulnerabilidad en el gestor de paquetes apt: tras una redirección HTTP, apt puede fusionar dos descargas distintas que comparten la misma URI. El manejo incorrecto de archivos al reanudar una descarga permite a un atacante man-in-the-middle reemplazar un paquete ya verificado y ejecutar código arbitrario como root. La versión 3.0.4 de trixie corrige el fallo (CVE-2026-109518) junto con varios accesos fuera de límites.
El manejo incorrecto de archivos al reanudar una descarga HTTP permite a un atacante man-in-the-middle reemplazar un paquete después de su verificación, lo que resulta en la ejecución de código arbitrario como root.