Debian and Ubuntu APT Flaw Lets Hackers Hijack Software Updates and Execute Code as Root
2026/11/04 CyberSecurityNews — Debian と Ubuntu で使用されるパッケージマネージャ APT で発見された脆弱性を悪用する、ネットワーク通信を傍受する攻撃者が、信頼されたソフトウェア・パッケージを悪意のあるパッケージにすり替える可能性がある。この脆弱性 CVE-2026-109518 が悪用されると、Linux システムの最高レベル権限である root 権限でコードが実行される可能性がある。Debian は 2026年11月4日に、この問題を公表し、発見者としてセキュリティ研究者の Max Justicz を挙げた。
APT (Advanced Package Tool) とは、ソフトウェア・パッケージをインストールする前の段階で、署名されたデータを照合して各パッケージを検証するものだが、この脆弱性を悪用する攻撃者は検証を回避できる。Debian によると、HTTP リダイレクトにより同じアドレスが指定された場合に、ダウンロードされた 2種類のパッケージを APT が統合してしまうことがある。
APT が中断されたダウンロードを再開する際に、ファイルが不適切に処理されるため、検証済みのパッケージをすり替えることが可能な短い時間が生じる。その結果、検証された正規のパッケージではなく、攻撃者が用意したパッケージがインストールされる。
攻撃者は、クライアントコンピュータとパッケージのアーカイブサーバの間に位置する必要があるが、それに該当するのは、同じネットワーク上の攻撃者／不正なプロキシ／悪意のミラーサーバなどである。また、この脆弱性の悪用にはハードリンクの再利用が関係しており、クライアントがリダイレクトに従い、ダウンロードを再試行することが条件となる。
これらの条件により、単純なリモート侵害と比較して悪用の難易度は高くなるが、公衆 Wi-Fi／乗っ取られたルータ／侵害されたミラーサーバなどを考慮すると、この攻撃は現実的に成立し得る。
Debian APT の脆弱性とアップデート乗っ取りの可能性
この脆弱性は、APT の再試行設定 Acquire::Retries が 0 より大きい場合にのみ悪用できる。Debian 12 (bookworm) と Ubuntu 22.04 LTS では、この値がデフォルトで 3 に設定されている。アドバイザリによると、それより古いリリースはデフォルト設定では影響を受けない。Debian Security Tracker には、以下の状況が記載されている。
- Bookworm: バージョン 2.6.1 は脆弱であり、2.6.2 で修正済み。
- Trixie: バージョン 3.0.3 は脆弱であり、3.0.4 で修正済み。
- Testing および unstable (forky、sid): バージョン 3.3.5 は脆弱。
Debian Security Tracker では、trixie 向けのセキュリティ・アドバイザリ DSA-6607-1 と、bookworm 向けの DLA-4880-1 が参照されている。Ubuntu と派生ディストリビューションには、それぞれ独自の修正パッケージが必要となるため、利用者は各ベンダーのセキュリティ通知を確認する必要がある。
Debian の trixie 向けアドバイザリでは、この問題が APT 3.0.4 で修正されたと説明し、ユーザーにアップグレードを推奨している。同じアップデートでは、複数の境界外アクセスの脆弱性も修正されている。
アップストリーム・プロジェクトでは、APT 3.3.6 においてダウンロード処理が変更され、ダウンロード先のファイルを排他的に開くようになった。これにより、2つのダウンロード処理が同じファイルにアクセスすることが防止される。このリリースでは、必須の Version フィールドが存在しない DEB パッケージを拒否するようになったほか、依存関係ソルバーの並べ替え処理に存在したバグも修正されている。
APT では、過去にも類似のセキュリティ問題が発生している。2019年に Justicz は、APT に存在するリモートコード実行の脆弱性 CVE-2019-3462 を発見した。この脆弱性も、リダイレクトを悪用した中間者攻撃により、攻撃者が root 権限でコードを実行できる問題だった。
その時に、Justicz が提示した回避策は、-o Acquire::http::AllowRedirect=false を使用してリダイレクトを無効化することだった。今回の脆弱性は別の問題だが、得られる教訓は共通している。リダイレクトとダウンロード処理は、あらゆるソフトウェア更新ツールにおいてセキュリティ上のリスクを伴う部分である。
管理者にとって重要なことは、信頼できるネットワーク上で apt update と apt upgrade を実行し、インストールされている APT のバージョンが、使用中のディストリビューションで修正済みとされるバージョンに、一致していることの確認である。パッチを適用するまでは、信頼できないミラーサーバやプロキシの使用を避けるべきである。
可能な場合は、HTTPS 対応のミラーサーバを優先することが推奨される。HTTPS を使用することで、通信の傍受や改ざんが困難になるためである。パッチ未適用のシステムでは、暫定的な緩和策として Acquire::Retries を 0 に設定することで、攻撃成立に必要な条件の一つを排除できる。ただし、通信状態が不安定な環境では、アップデートの信頼性が低下する可能性がある。
ソフトウェア更新ツールは高い信頼を前提として動作するため、悪意のパッケージが一つインストールされるだけで、サーバ全体が攻撃者の制御下に置かれる可能性がある。以前の記事である Linux のサプライチェーン・セキュリティの基本では、パッケージの整合性を検証することが重要な理由を説明している。
Debian が 1,313件の脆弱性を修正したカーネル・アップデートに関する記事で、大規模な修正パッケージが、どのように提供されるかを確認できる。現時点で、この脆弱性が実際の攻撃で悪用されたという公開報告は確認されていない。それでも、速やかにパッチを適用することが最も安全な対応となる。
この記事は、Linux のパッケージ管理ツールである APT に存在する通信傍受時の偽装パッケージ注入問題と、その緩和方法について解説するものです。中断されたデータ取得処理におけるファイル保存手順の不備やリダイレクト時の制御不足が背景に存在します。影響として、パッケージ検証機構の突破／悪意あるコードの実行／システムにおける最高権限の無断奪取が生じる恐れがあります。対応策として、セキュリティ修正済みバージョンへの更新／通信路の暗号化の徹底／再試行パラメータの調整が求められます。 (対象 CVE：CVE-2026-109518)
You must be logged in to post a comment.