Debian apt 漏洞：中间人攻击可提权
Debian apt security update (man-in-the-middle)
Debian 发布安全公告 DSA-6607-1，披露 APT 包管理器存在严重漏洞（CVE-2026-109518）。Max Justicz 发现，当 HTTP 重定向导致两个不同包下载拥有相同 URI 时，APT 可能会错误地合并它们。更危险的是，利用 HTTP 下载恢复过程中的文件处理缺陷，中间人攻击者可以在包验证通过后替换恶意代码，从而以 root 权限执行任意指令。该问题已在 trixie 稳定版的 3.0.4 版本中修复，同时此次更新还解决了若干越界访问问题。建议所有用户立即升级 apt 包以规避风险。
不当的文件处理导致中间人攻击者能够在验证后替换软件包，从而以 root 权限执行任意代码。