Debianのaptに深刻な脆弱性、パッケージ検証後に差し替えられroot権限で任意コード実行

Debian apt security update: man-in-the-middle arbitrary code execution

Max Justicz氏がAPTパッケージマネージャの脆弱性CVE-2026-109518を発見した。HTTPリダイレクトで2つのダウンロードが同じURIになるとAPTがそれらを統合してしまい、HTTPダウンロード再開時の不適切なファイル処理を突いて、中間者攻撃者が検証済みのパッケージを差し替え、root権限での任意コード実行が可能になる。stable(trixie)向けにバージョン3.0.4で修正済みで、複数の範囲外アクセス問題も併せて対処されている。