Ubuntu・Debianのaptにパッケージすり替えの欠陥、修正版へ

やること

Ubuntu と Debian のサーバーで、apt（ソフトを入れたり更新したりする道具）自身を更新してください。

• Ubuntu は11月4日に USN-8996-1 を出しました。24.04 LTS 以降と 22.04 LTS は通常の更新で入ります。20.04 LTS 以前は拡張セキュリティ保守の修正で、Ubuntu Pro が必要です。16.04 LTS と 14.04 LTS は Legacy Support のアドオンも要ります
• Debian は DSA-6607-1（Debian 13）と DLA-4880-1（Debian 12）を出しました
• sudo apt update のあと、sudo apt install --only-upgrade apt で更新できます

確かめるときは、dpkg -l apt に出るパッケージのバージョンを上の表と比べてください。Ubuntu の 2.8.4ubuntu0.1 のように、公式のバージョン番号に Ubuntu の修正の番号が付きます。Ubuntu の通知は、通常は標準の更新で必要な変更がすべて入るとしていて、再起動の要否は書いていません。

すぐに更新できない場合、oss-security への投稿は、apt.conf に Acquire::Retries 0; を足すと軽くなる可能性があるとしています。一方、Ubuntu のページには回避策の記載がありません。APT の開発チームは、公式の回避策は示さず、再試行を止めれば条件を外せると考えられるが確証はないと書いて、更新を勧めています。あくまで更新までのつなぎと考えてください。

何が危ないのか

CVE-2026-109518 は HTTP の転送先の切り替え（リダイレクト）と失敗したときの再試行を組み合わせる欠陥で、確認の終わったパッケージを別のものにすり替えられます。パッケージは root 権限で入るので、サーバー全体を乗っ取られるおそれがあります。

仕組みはこうです。リダイレクトの結果、2つの別々のパッケージの取得が同じ URL になると、apt はそれを1つにまとめます。ダウンロードを再開するときのファイルの扱いに不備があり、すでにあるハードリンク（同じ中身を別名で指すファイル）が、攻撃者の選んだ中身で上書きされるおそれがあります。そのため、署名の確認のあとでパッケージを差し替えられます。

攻撃者は悪質なミラーやプロキシのように、通信の途中に入り込める必要があります。発見者は Max Justicz 氏で、修正は Debian の開発者 Julian Andres Klode 氏が作りました。

CVSS は v4.0 で 7.7 で、Ubuntu の優先度は High です。APT の開発チームは自らの案内で深刻度を Critical としています。悪用の確認は公表されておらず、CISA の評価も「悪用なし」です。

対象

再試行の設定 Acquire::Retries が 0 でない場合が対象です。既定値は 3 で、Debian 12 と Ubuntu 22.04 LTS 以降が当たります。APT の開発チームは、この設定が既定になったのは APT 2.3.2 以降だとしています。それより前の OS は既定では対象外ですが、自分でスクリプトなどに設定を入れていれば対象です。

Debian、Ubuntu のほか、その派生の OS も対象です。派生の OS はそれぞれの配布元の案内を確かめてください。

同じ更新に入った修正

今回の更新には、メモリの範囲外のアクセスなどの修正もまとめて入っています。直接の影響は主にサービス停止で、root で動くデーモンが利用者の渡した .deb ファイルを読む場面でそれが起きえます。

apt-ftparchive には範囲外のアクセスが残っています。修正が複雑で試験が足りないため見送られたもので、APT の開発チームは、信頼できない .deb からリポジトリを作らないよう勧めています。

中小企業が確かめること

社内にミラーやプロキシを置いてパッケージを取っている場合は、そこが apt の通信の途中になります。取得先の管理者と、アクセスできる人を確かめてください。自動更新を入れている環境では、apt 自身のバージョンが上がったかを、更新のあとの記録で見てください。