Debian apt 취약점, 중간자 공격으로 root 권한 임의 코드 실행 가능
Debian apt security update: man-in-the-middle arbitrary code execution
Debian 보안 공지 DSA-6607-1에 따르면 Max Justicz가 APT 패키지 관리자의 취약점(CVE-2026-109518)을 발견했다. HTTP 리다이렉트로 두 패키지 다운로드가 같은 URI를 갖게 되면 APT가 이를 병합하는데, 다운로드 재개 시의 부적절한 파일 처리로 중간자 공격자가 검증 이후 패키지를 교체해 root 권한으로 임의 코드를 실행할 수 있다. stable(trixie) 배포판은 3.0.4 버전에서 수정됐으며, 여러 범위 초과 접근 문제도 함께 해결됐다.
HTTP 다운로드 재개 시의 부적절한 파일 처리는 중간자 공격자가 검증 이후 패키지를 교체하도록 허용하며, 그 결과 root 권한으로 임의 코드가 실행된다.