--- title: "APT 修補下載驗證繞過漏洞 攻擊者可藉此以 root 執行任意程式碼" url: https://sammy.hk/apt-package-verification-bypass/ author: Ethan published: 2026-11-05T11:47:00+08:00 modified: 2026-11-05T11:47:00+08:00 description: "2026年11月4日，APT 維護者 Julian Andres Klode 於 Debian 的 deity 郵件列表公布 APT-2026-11-01 安全更新，修補編號 CVE-2026-109518 的「嚴重檔案驗證繞過」漏洞[1]。攻擊者若能介入 APT 的下載流量，便可利用重新導向與伺服器暫時錯誤，令 AP…" categories: ["開放源碼"] tags: [APT, debian, linux, "安全漏洞"] source: https://sammy.hk --- 2026年11月4日，APT 維護者 Julian Andres Klode 於 Debian 的 deity 郵件列表公布 APT-2026-11-01 安全更新，修補編號 CVE-2026-109518 的「嚴重檔案驗證繞過」漏洞\[1\]。攻擊者若能介入 APT 的下載流量，便可利用重新導向與伺服器暫時錯誤，令 APT 以攻擊者指定的檔案覆寫已驗證的套件，繼而以 root 權限執行任意程式碼。APT 多條穩定分支已同步推出修正版本，Debian 亦為穩定版發出安全公告 DSA-6607-1\[3\]。 ## 漏洞成因與攻擊路徑 根據官方公告，漏洞的關鍵在於 APT 的下載重試機制。當伺服器回傳重新導向，或 5xx、429 等短暫性 HTTP 錯誤時，APT 會依 `Acquire::Retries` 設定重試下載；重試過程中，APT 會覆寫先前已存在的硬連結（hardlink），攻擊者便可趁此機會以自選內容取代該檔案\[1\]。由於 `.deb` 套件以 root 權限安裝，驗證一旦被繞過，即等同取得遠端程式碼執行能力。 此攻擊依賴 `Acquire::Retries` 選項，該選項自 APT 2.3.2 起才成為預設值，但不少較舊版本的用戶腳本亦可能早已自行啟用。公告感謝 Max Justicz 報告此問題\[1\]。 ## 受影響版本與修正 APT 已為以下分支提供修正：1.2.y 為 1.2.36、1.4.y 為 1.4.12、1.6.y 為 1.6.19、1.8.2.z 為 1.8.2.4、2.0.y 為 2.0.12、2.2.y 為 2.2.5、2.4.y 為 2.4.15、2.6.y 為 2.6.2、2.8.y 為 2.8.4、3.0.y 為 3.0.4、3.2.y 為 3.2.1，開發分支 unstable 則為 3.3.6\[1\]。 在 Debian 方面，穩定版 trixie 的修正版本為 3.0.4，對應公告 DSA-6607-1\[3\]；舊穩定版 bookworm 為 2.6.2，對應長期支援公告 DLA-4880-1\[2\]。Ubuntu 及 Ubuntu Pro 頻道亦同步推出更新，其中 Ubuntu Pro 客戶的 trusty 版本為 1.0.1ubuntu2.24\[1\]。 ## 升級與檢查建議 系統管理員應盡快執行 `apt update` 及 `apt full-upgrade`，並以 `apt --version` 確認版本已達所屬分支的修正號。若環境設有內部鏡像或代理，亦應檢查其是否會對套件下載作出重新導向，並避免透過不受信任的中介取得套件。 由於漏洞成立的前提是下載重試，管理員可檢視 `/etc/apt/apt.conf.d/` 內是否設定 `Acquire::Retries`。在未能即時升級的過渡期，將重試次數設為零可減少暴露機會，但長遠仍應安裝官方修正；企業環境亦應檢查自動化腳本是否自行加入重試設定。 ## 同批修正的其他問題 除上述漏洞外，本次更新亦捆綁多項越界記憶體存取修正，包括拒絕沒有 `Version` 欄位的 `.deb`、修正 solver 比較運算未符合嚴格弱序、限制 tagfile 的無界回溯掃描，以及 gpgv 與 DNS 解析的邊界檢查\[1\]。官方表示，這些問題本身不預期造成直接安全影響，但第三方應用（例如以 root 權限解析使用者提供 `.deb` 的 PackageKit）可能出現阻斷服務。另外，APT 2.6、2.8 及 3.0 系列在重試延遲項目時可能耗盡記憶體或塞滿日誌，亦已一併修正。 官方同時指出，apt-ftparchive 的多個越界存取，以及建置依賴解析器的越界讀取，因修正複雜度高、回歸風險大，本次並未納入\[1\]。 ## 參考資料 \[1\] [APT-2026-11-01 security update（2026年11月4日）](https://lists.debian.org/deity/2026/11/msg00005.html) \[2\] [CVE-2026-109518（Debian Security Tracker）](https://security-tracker.debian.org/tracker/CVE-2026-109518) \[3\] [DSA-6607-1 apt – security update](https://security-tracker.debian.org/tracker/DSA-6607-1) ### 相關文章： 1. [難以預先安裝 Linux 在套裝電腦上嗎？](https://sammy.hk/difficult-preinstallation-brandmade-computer/ "難以預先安裝 Linux 在套裝電腦上嗎？") 2. [首次使用 Etch 的少少感覺](https://sammy.hk/debian-etch-first-experience/ "首次使用 Etch 的少少感覺") 3. [換硬碟的好幫手 – SystemRescueCd](https://sammy.hk/harddisk-replacement-with-systemrescuecd/ "換硬碟的好幫手 – SystemRescueCd") 4. [香港Linux軟件庫嚴重短缺](https://sammy.hk/shortage-of-linux-mirrors-in-hong-kong/ "香港Linux軟件庫嚴重短缺")