FALLA CRÍTICA APT/APT-GET

[ BLOG INICIO ]

 

 

  El día de hoy se descubrió una vulnerabilidad que permite la instalación remota y control de paquetes esta falla se da en la verificación de paquetes en repositorios que utilizan solo HTTPS para comunicarse de forma segura sin utilizar la verificación de paquetes basados solo en firmas.

Esta vulnerabilidad, descubierta por Max Justicz, conocida como (CVE-219-3462) reside en el administrador de paquetes APT, ampliamente utilizada que maneja la instalación, actualización y eliminación de software en Debian, Ubuntu y otras distribuciones de Linux entre ellas nuestra amada deepin.

Según Justicz el cual escribio en su blog las versiones vulnerables de APT no satisfacen los parámetros de las credenciales mientras ocurre el redireccionamiento http, permitiendo un ataque  de hombre en el medio para inyectar código malicioso y permitir la instalación de paquetes adicionales.

Aunque Justicz no ha probado, cree que la vulnerabilidad afecta a todas las descargas de paquetes, incluso si está instalando un paquete por primera vez o actualizando uno anterior.

La recomendación para los administradores de repositorios en linux es que para proteger la integridad de los paquetes, es importante utilizar la verificación basada en firmas, ya que los desarrolladores no tienen control sobre los servidores espejo, pero al mismo tiempo, implementar de HTTPS podría evitar la explotación activa después del descubrimiento de dichas vulnerabilidades.

La recomendación para todos los usuarios es que actualicen sus equipos ya que los administradores de Debian trabajaron rápidamente para corregirla.

1
¿Qué piensas al respecto?

Por favor Ingrese para comentar
1 Hilos de comentarios
0 Respuestas a hilos
0 Seguidores
 
Comentario con mas reacciones
Hilo más comentado
1 Autores de los comentarios
Car Autores de los comentarios mas recientes
  Subscribete  
Mas nuevos Mas antiguos Mas populares
Notificar de
Car
Editor

Buena data, gracias AvatarG4SP3R