Analiza kritične ranjivosti u Linux menadžeru paketa APT (CVE-2026-109518): Izvršavanje proizvoljnog koda uz root privilegije

Uvod

Sistem za upravljanje paketima APT (Advanced Package Tool) predstavlja jedno od vitalnih tkiva Linux distribucija baziranih na Debian-u i Ubuntu-u. Njegov zadatak je bezbedno preuzimanje, provera i instalacija softverskih paketa. Međutim, objavljivanje CVE zapisa pod oznakom CVE-2026-109518 otkrilo je ozbiljnu sigurnosnu ranjivost koja omogućava napadačima sa pozicije posmatrača mreže (“Man-in-the-Middle” ili zlonamerno ogledalo/proksi) da zaobiđu kriptografske provere i na ciljanom sistemu izvrše proizvoljni kod sa najvišim, root privilegijama.

Ranjivost potiče od neadekvatnog rukovanja čvrstim vezama (engl. hard links) u kombinaciji sa vremenskim trkama pri pristupu fajlovima (TOCTOU) i zadatim konfiguracijama ponovnog pokušaja preuzimanja (engl. retries). U ovom članku detaljno ćemo analizirati kako funkcioniše ova ranjivost, ko je pogođen i koje tačno korake morate preduzeti radi sanacije.

Pregled osnovnih parametara ranjivosti

CVE ID: CVE-2026-109518

Naslov: APT RCE via hard link reuse (Izvršavanje udaljenog koda putem ponovne upotrebe čvrstih veza)

Izvor prijave: Canonical Ltd.

Otkrio: Max Justicz (Ispravku razvio: Julian Andres Klode)

CVSS v4.0 Skor: 7.7 (HIGH) — CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Klasifikacija slabosti (CWE):

CWE-62: UNIX Hard Link (Nepravilno rukovanje čvrstim vezama)

CWE-367: Time-of-check Time-of-use (TOCTOU) Race Condition (Vremenski raskorak između provere i upotrebe)

Tehnička analiza: Kako funkcioniše CVE-2026-109518?

Da bismo razumeli mehanizam napada, važno je sagledati proces preuzimanja paketa koji APT sprovodi i način na koji rukuje privremenim i keširanim fajlovima na fajl sistemu.

1. Optimizacija putem čvrstih veza (Hard Links)

Kada APT preuzima .deb pakete sa repozitorijuma, radi uštede prostora i efikasnosti koristi lokalni keš (/var/cache/apt/archives/). U određenim scenarijima preuzimanja, posebno kada se rukuje privremenim fajlovima i preusmeravanjima (engl. HTTP redirects), APT stvara čvrste veze (engl. hard links) između fajlova u privremenom direktorijumu i konačne lokacije za validaciju.

2. Vremenska trka (TOCTOU) i ponovljeni pokušaji (Retries)

Napad zahteva sledeće uslove:

Napadač se nalazi na mrežnoj putanji (na primer, kontroliše Wi-Fi pristupnu tačku, zlonamerni proxy server ili kompromitovano ogledalo/repozitorijum).

U konfiguraciji APT-a aktivirana je opcija Acquire::Retries čija je vrednost veća od nule.

Klijent prati HTTP preusmeravanja.

Počevši od Debian 12 (Bookworm) i Ubuntu 22.04 LTS (Jammy Jellyfish), zadata (default) vrednost u sistemu za Acquire::Retries postavljena je na 3. Zbog toga su sve novije distribucije ranjive u svojoj fabričkoj konfiguraciji, dok su starija izdanja bila bezbedna ukoliko korisnik nije ručno menjao ovaj parametar.

3. Vremenski tok napada (Attack Vector)

Korisnik pokreće komandu apt install <paket>.

Napadač na mreži presreće zahtev i šalje odgovor koji izaziva grešku pri preuzimanju uz HTTP preusmeravanje (redirect).

APT prespaja preuzimanje i pokušava ponovo (koristeći definisani broj retries).

Usled greške u logici ponovne upotrebe čvrstih veza, APT ostavlja ili ponovo koristi isti indeks čvrste veze na lokalnom fajl sistemu pre nego što izvrši proveru digitalnog potpisa (GPG / Release fajla).

Napadač podmeće nevalidirani, zlonamerni .deb paket u trci sa vremenom (TOCTOU), koji APT prihvata i ugrađuje u sistem pre nego što stigne da odbaci fajl.

Prilikom instalacije .deb paketa, skripte unutar paketa (postinst, preinst) automatski se izvršavaju pod root privilegijama, dajući napadaču punu kontrolu nad sistemom.

Pogođene verzije i distribucije

Ranjivost pogađa širok spektar verzija paketnog menadžera APT na svim distribucijama zasnovanim na Debian-u i Ubuntu-u.

Pogođene verzije APT-a:

Paket apt u verzijama od najranijih izdanja pa sve do zakrpljenih verzija navedenih u tabeli ispod:

Pogođeni operativni sistemi:

Ubuntu: 24.10, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 ESM, 16.04 ESM.

Debian: 12 (Bookworm), 11 (Bullseye), 10 (Buster), kao i predstojeća izdanja (Testing/Unstable).

Derivati: Linux Mint, Pop!_OS, Elementary OS, Kali Linux, Raspberry Pi OS i svi drugi operativni sistemi koji koriste APT.

Koraci za ublažavanje i sanaciju ranjivosti

Da biste osigurali svoje sisteme, servere i infrastrukturu, primenite sledeće korake:

KORAK 1: Hitno ažuriranje APT paketa (Preporučena metoda)

Osnovni i najefikasniji način zaštite je ažuriranje samog apt paketa na zakrpljenu verziju.

Otvorite terminal i osvežite liste repozitorijuma:

Bash

sudo apt update

Ažurirajte isključivo paket apt i njegove zavisnosti:

Bash

sudo apt install –only-upgrade apt

Proverite instaliranu verziju kako biste bili sigurni da je zakrpa primenjena:

Bash

apt –version

Uporedite dobijenu verziju sa bazom zakrpljenih verzija iz prethodne tabele (npr. na Ubuntu 24.04 mora biti najmanje 2.8.4ubuntu0.1 ili novija).

KORAK 2: Privremena mera zaštite (Ukoliko ažuriranje nije odmah moguće)

Ako iz nekog razloga u vašem okruženju ne možete odmah primeniti bezbednosne zakrpe, ranjivost možete ublažiti onemogućavanjem ponovnih pokušaja preuzimanja u APT konfiguraciji.

Kreirajte novu konfiguracionu datoteku u /etc/apt/apt.conf.d/:

Bash

echo ‘Acquire::Retries “0”;’ | sudo tee /etc/apt/apt.conf.d/99disable-retries

Ovom postavkom vrednost Acquire::Retries vraća se na 0, čime se sprečava trka sa vremenom pri ponovnom preuzimanju i uspešno blokira mehanizam eksploatacije ove ranjivosti.

Napomena: Ovo je samo privremena mera ublažavanja (mitigation). Čim budete u mogućnosti, ažurirajte paket apt i uklonite ovu privremenu datoteku:

Bash

sudo rm /etc/apt/apt.conf.d/99disable-retries

KORAK 3: Dodatne dobre prakse bezbednosti

Korišćenje HTTPS repozitorijuma: Uverite se da se u vašim /etc/apt/sources.list i /etc/apt/sources.list.d/ datotekama koriste isključivo enkriptovani protokoli (https://) umesto nezaštićenog http://. Iako HTTPS sam po sebi ne rešava problem zlonamernog ogledala (mirror-a), znatno otežava napade presretanja saobraćaja u lokalnoj mreži.

Automatizacija bezbednosnih zakrpa: Omogućite paket unattended-upgrades na serverima kako bi se kritična bezbednosna ažuriranja primenjivala automatski bez odlaganja:

Bash

sudo apt install unattended-upgrades

sudo dpkg-reconfigure –priority=low unattended-upgrades

Zaključak

Ranjivost CVE-2026-109518 podseća na to koliko i najosnovniji alati operativnog sistema mogu postati meta napada kada se ukrste kompleksna logika fajl sistema i mrežni protokoli. Zahvaljujući brzoj reakciji bezbednosnih timova Debian-a i Canonical-a, zakrpe su dostavljene svim podržanim verzijama.

Savetuje se svim administratorima sistema i korisnicima Linux distribucija baziranih na Debian-u da odmah sprovedu ažuriranje sistema i provere verziju paketa APT.

Ako imate dodatnih pitanja u vezi sa konfiguracijom APT-a ili primenom zakrpa na specifičnim izdanjima, slobodno se obratite za pomoć.