In questo articolo Indice dei contenuti 3 sezioni
Una falla in APT, il gestore dei pacchetti di Ubuntu e Debian, consente in determinate condizioni di aggirare la verifica del software e installare codice dannoso con privilegi di root. Il problema tocca anche le distribuzioni Linux derivate e colpisce uno strumento usato ogni giorno per scaricare, installare e aggiornare applicazioni e librerie. Lo scenario è serio ma non apocalittico, perché per sfruttare la vulnerabilità servono requisiti precisi.
APT accompagna Debian dalla fine degli anni Novanta e Ubuntu fin dalla prima versione del 2004. Il suo modello di sicurezza si regge su firme crittografiche, metadati autenticati e controlli di integrità, pensati per impedire che un mirror compromesso o un intermediario di rete sostituisca i programmi originali con copie manipolate. La scoperta del ricercatore Max Justicz, resa pubblica il 4 novembre 2026, dimostra però che anche una catena di verifica robusta può cedere quando il software gestisce male file già controllati. Canonical ha classificato la falla con gravità High e un punteggio CVSS 4.0 di 7,7.
Come funziona l’attacco e cosa serve per metterlo in pratica
Il difetto si trova nel componente HTTP di APT, quello che trasferisce i pacchetti dai repository. Quando un download incontra un reindirizzamento HTTP o un errore temporaneo il sistema può ritentare il recupero del file, ed è proprio qui che qualcosa va storto. APT può associare due download differenti se un reindirizzamento li porta allo stesso indirizzo. A complicare il quadro ci sono gli hard link, collegamenti che su Linux permettono a più nomi di file di puntare agli stessi dati sul disco. Modificando il contenuto attraverso uno di essi cambia anche ciò che si vede dagli altri. Manipolando le risposte del server un aggressore riesce così a sovrascrivere un pacchetto già verificato e a far arrivare all’installazione qualcosa di diverso dal previsto.
Detto questo, non basta conoscere l’indirizzo IP di una macchina per prenderne il controllo. Chi attacca deve poter alterare il traffico tra il computer e il repository, trovandosi lungo il percorso di rete, controllando un proxy oppure gestendo un mirror malevolo o compromesso. Serve poi che parta un’installazione o un aggiornamento con il download di un pacchetto .deb e una certa sequenza di reindirizzamenti. Infine l’opzione Acquire::Retries, che decide quante volte ritentare un download fallito, deve avere un valore superiore a zero. Da APT 2.3.2 l’impostazione predefinita prevede 3 tentativi, quindi Ubuntu 22.04 LTS e le versioni successive sono vulnerabili già nella configurazione standard. Le release più vecchie lo diventano soltanto se un amministratore o uno script ha attivato i tentativi automatici. Il fatto che Ubuntu applichi gli aggiornamenti di sicurezza in automatico, di solito con un controllo quotidiano, rende comunque l’esposizione da valutare con attenzione su reti aziendali, proxy e mirror interni.
Il ruolo di HTTPS e le versioni corrette
Secondo Canonical l’uso di HTTPS con TLS blocca l’attacco da parte di un intermediario che non possa alterare la comunicazione cifrata. FTP e gli altri metodi di trasporto non sono coinvolti. Molti repository viaggiano ancora in chiaro perché il sistema apt secure verifica comunque i metadati firmati e i riferimenti crittografici ai pacchetti, ma HTTPS aggiunge cifratura e autenticazione del collegamento senza sostituire la verifica completa dei repository.
Le patch sono già disponibili. Ubuntu 22.04 LTS deve passare ad APT 2.4.15ubuntu0.1, Ubuntu 24.04 LTS a 2.8.4ubuntu0.1, Ubuntu 26.04 LTS a 3.2.1ubuntu0.1 e Ubuntu 26.10 a 3.3.3ubuntu0.1. Le release più datate ricevono correzioni tramite manutenzione estesa con Ubuntu Pro e, per le versioni più vecchie, con l’estensione Legacy. Si parla di APT 2.0.12+esm1 per la 20.04, 1.6.19+esm1 per la 18.04, 1.2.36+esm1 per la 16.04 e 1.0.1ubuntu2.24+esm4 per la 14.04. Su Debian 13 Trixie la versione sicura è APT 3.0.4, mentre chi usa altre release o derivate deve consultare i propri avvisi senza dare per buoni i numeri di Ubuntu.
Aggiornare senza esporsi
Canonical consiglia di installare la patch impostando temporaneamente Acquire::Retries a zero, così da spezzare la sequenza di tentativi necessaria all’attacco. Chi non può aggiornare tutto il sistema può limitarsi ai soli pacchetti provenienti dal sorgente APT. Per ridurre ulteriormente il rischio conviene far puntare i repository a indirizzi HTTPS, modificando il file sources.list e la relativa cartella dentro /etc/apt, dopo aver verificato che i mirror supportino davvero TLS, cosa che non tutti i server comunitari garantiscono. Va ricordato poi che l’assenza della direttiva sui tentativi nella configurazione non significa che siano disattivati, perché valgono i valori predefiniti della versione installata.
La vulnerabilità riguarda anche aptitude e le applicazioni grafiche che si appoggiano alla stessa libreria. Restano invece fuori i pacchetti Snap, che usano un meccanismo di installazione differente.
Fonte: TecnoAndroid