Debian apt, 중간자 공격으로 패키지 교체돼 root 권한 실행 가능
Debian apt security update (man-in-the-middle)
Max Justicz가 APT 패키지 매니저에서 취약점(CVE-2026-109518)을 발견했다. HTTP 리다이렉트로 두 패키지 다운로드가 같은 URI를 갖게 되면 APT가 이를 병합하는데, 다운로드 재개 시의 부적절한 파일 처리로 중간자 공격자가 검증 이후 패키지를 바꿔치기해 root 권한으로 임의 코드를 실행할 수 있다. stable 배포판 trixie에서는 3.0.4 버전에서 수정됐으며, 여러 범위 초과 접근 문제도 함께 해결됐다.
HTTP 다운로드를 재개할 때의 부적절한 파일 처리는 중간자 공격자가 검증 이후 패키지를 교체할 수 있게 하여, 결과적으로 root 권한으로 임의 코드가 실행되게 한다.