ثغرة حرجة في أداة apt تتيح تجاوز التحقق من الحزم عبر الـ redirect وإعادة المحاولة

صدر في 4 نوفمبر 2026 تحديث أمني لأداة apt، مدير الحزم في Debian وUbuntu، يسد ثغرة رقمها CVE-2026-109518. ووصفها الإعلان الرسمي APT-2026-11-01، الذي أرسله Julian Andres Klode إلى قائمة deity البريدية، بأنها تجاوز حرج للتحقق من الملفات. والباحث الذي أبلغ عنها هو Max Justicz.

وتكمن المشكلة في طريقة تعامل apt مع الأخطاء أثناء التحميل. فحين تحمّل الأداة حزمة ويحدث redirect أو خطأ مؤقت من الخادم، تعيد محاولة التحميل. وكانت إعادة المحاولة هذه قادرة على الكتابة فوق hardlink موجود مسبقًا، أي رابط ثابت يشير إلى ملف على القرص، بملف يختاره المهاجم. وبهذا يمكن أن يتجاوز الملف التحقق الذي يُفترض أن يرفض أي حزمة غير موثوقة.

وتزداد خطورة ذلك لأن حزم deb تُثبّت بصلاحيات root، ولذلك يذكر الإعلان نفسه أن الثغرة تفتح احتمال تنفيذ كود عن بُعد بالصلاحيات نفسها.

أما ما يجعلها واسعة الانتشار فهو ارتباطها بإعداد اسمه Acquire::Retries، وهو مفعّل افتراضيًا منذ النسخة 2.3.2. أي أنه يعمل في أغلب الأنظمة دون أن يفعّله أحد.

وصدرت نسخ مصلحة لمعظم السلاسل، منها 2.6.2 و3.0.4 و3.3.6، إضافة إلى 2.4.15 و2.2.5 و2.0.12 ونسخ أقدم. وعند الاطلاع على متتبع أمان Debian، كان إصدار forky لا يزال معلّمًا بأنه vulnerable.

ولا يقتصر الأثر على الخوادم. فالسطر المكرر في أغلب ملفات Dockerfile، أي apt-get update يليه apt-get install، يشغّل هذه الأداة نفسها عند بناء كل image فوق Debian أو Ubuntu. ويصبح السؤال بالتالي عن الـ base image التي تُبنى منها الحاويات، وهل ثُبّتت بـ digest محدد أم بـ tag قد يشير إلى نسخ مختلفة بمرور الوقت.