URGENTE | ELUSIÓN DE VERIFICACIÓN DE DESCARGAS APT — ACTUALICE YA

Previo

ACTUALIZACIÓN URGENTE | ELUSIÓN DE VERIFICACIÓN DE DESCARGAS APT

🔔 Estimados usuarios de Deepin y miembros de la comunidad: Se ha descubierto una vulnerabilidad en APT, el gestor de paquetes, que permite eludir la verificación de integridad de los paquetes. Bajo condiciones específicas, un atacante posicionado en la ruta de red puede sustituir un paquete que ya ha superado la verificación por uno de su propia creación y hacer que se ejecute con privilegios de superusuario (root).

Dado que APT es el componente por el que pasa cada actualización del sistema, el impacto de su explotación sería considerable. Se recomienda a todos los usuarios que actualicen su sistema lo antes posible.

DETALLES DE LA VULNERABILIDAD

ID de CVE: CVE-2026-109518

Descripción: Al seguir una redirección HTTP, APT puede fusionar dos descargas de paquetes diferentes en el mismo archivo de destino. Si posteriormente se reintenta (reanuda) la descarga, el enlace duro (hard link) reutilizado se gestiona de forma inadecuada, abriendo una ventana entre la verificación y el uso: una condición de tiempo de comprobación a tiempo de uso (TOCTOU, por sus siglas en inglés). Un atacante puede reemplazar el contenido de un paquete después de que haya sido verificado, de modo que el paquete que finalmente se instala difiere del que fue comprobado. Esto elude el límite de verificación sin requerir una firma válida en el paquete de reemplazo. Reportado por Max Justicz.

Gravedad: ⚠️⚠️⚠️ Alta (CVSS v4.0: 7.7)

REQUISITOS PREVIOS:

El atacante se encuentra en la ruta de red (misma red LAN, un servidor proxy malicioso o un espejo comprometido);
El repositorio de paquetes se obtiene a través de HTTP y se siguen las redirecciones;
Acquire::Retries tiene un valor distinto de cero.

Un paquete instalado con éxito se ejecuta con privilegios de root. Hasta la fecha, no se han reportado casos de explotación activa.

SISTEMAS AFECTADOS

Todos los usuarios de Deepin 25 que aún no hayan aplicado esta actualización.

Solución

DEEPIN 25:

Se ha actualizado apt a la versión 2.8.4deepin1, la cual incluye la actualización de seguridad original (upstream): los métodos de descarga ahora abren los archivos de destino de forma exclusiva (O_EXCL), por lo que dos descargas ya no pueden compartir ni fusionarse en el mismo archivo. También se han corregido cinco problemas de acceso fuera de los límites (out-of-bounds):

deb: protección contra el subdesbordamiento sin signo (unsigned underflow) al recortar saltos de línea de control;
gpgv: no avanzar más allá del terminador nulo en PushEntryWithKeyID;
debDebFileParser: rechazar paquetes .deb a los que les falte el campo Version;
srvrec: rechazar respuestas de res_query más grandes que el búfer;
tagfile: corregir el escaneo hacia atrás sin límites en la comprobación de salto de línea final de Fill().

Por favor, actualice a través del Centro de Control o desde una terminal:

sudo apt update && sudo apt dist-upgrade

Posteriormente, confirme la versión con apt --version (debería mostrar 2.8.4deepin1). No es necesario reiniciar el sistema.

Nota: La descarga de la versión parcheada de apt se sigue realizando mediante la versión antigua y vulnerable de apt. Recomendamos completar esta actualización desde una red de confianza. Si no puede actualizar de inmediato, ejecutar sudo apt -o Acquire::Retries=0 update deshabilita los reintentos de descarga y elimina una de las condiciones necesarias; esto es solo una mitigación temporal y no reemplaza la actualización.
Eso es todo para esta actualización. ¡Gracias, como siempre, por apoyar a la comunidad de Deepin!

NOTA: Esta es una traducción del artículo original en el blog de Deepin.