TL;DR
Zwykłe apt-get upgrade może po cichu zainstalować cudzy pakiet z uprawnieniami roota. Powód to zaszłość: ruch do repozytoriów Ubuntu i Debiana domyślnie nie jest szyfrowany, więc atakujący kontrolujący sieć między hostem a repozytorium może podmienić to, co trafia do instalacji. Podatność ma identyfikator CVE-2026-109518.
Apt wspiera HTTPS od 2017 roku, a domyślne konfiguracje wciąż używają HTTP. Dotyczy to serwerów, desktopów i obrazów kontenerowych. Poprawki wyszły razem z ujawnieniem luki.
Autor omawia, co zrobić poza samym patchem: przejście na HTTPS, lokalne lustra repozytoriów i pytanie, czy w produkcji warto rozważyć inne rodziny dystrybucji.
Od pewnego czasu każdy dzień przynosi nowe i istotne informacje ze świata bezpieczeństwa IT. Różnych ataków czy „podatności” jest obecnie tak wiele, że trudno przedstawić wszystkie...
Czytaj cały wpis u źródła// tagi
