¿Confías en las firmas de apt? En Debian y Ubuntu pueden eludirse y colar paquetes con privilegios de roo

Se ha descubierto una vulnerabilidad peligrosa en Debian y Ubuntu que permite a los atacantes reemplazar paquetes de software y obtener privilegios de root. Además, la verificación incorporada de firmas digitales no evita el ataque. El problema afecta a uno de los principales mecanismos de seguridad de Linux.

La vulnerabilidad CVE-2026-109518 fue detectada por el investigador Max Justicz. La falla está presente en el gestor de paquetes APT, a través del cual los usuarios de Debian, Ubuntu y distribuciones derivadas instalan programas y actualizaciones. Canonical evaluó el riesgo en 7,7 puntos según CVSS 4.0 y publicó correcciones el 4 de noviembre de 2026.

Para el ataque, el atacante necesita controlar el tráfico HTTP entre el equipo y el servidor de paquetes. Puede servir, por ejemplo, un proxy comprometido o un espejo malicioso del repositorio. En ciertas condiciones, el atacante puede sustituir el paquete DEB descargado por un archivo propio, que APT instalará a pesar de la ausencia de una verificación de firma exitosa.

La causa reside en el manejo incorrecto de los enlaces duros a archivos durante redirecciones de solicitudes HTTP e intentos de descarga repetidos. APT puede combinar dos descargas con la misma dirección final y sobrescribir un archivo ya verificado. Como resultado, el gestor de paquetes pierde la garantía de que el archivo instalado coincide con el que pasó la verificación.

Las consecuencias pueden ser serias. Al instalar paquetes DEB, el sistema ejecuta scripts de mantenimiento con privilegios de root. Si se sustituye un paquete, el atacante podría potencialmente ejecutar comandos arbitrarios con privilegios máximos. La vulnerabilidad afecta no solo a apt y apt-get, sino también a aptitude y a las aplicaciones gráficas de Ubuntu que emplean la biblioteca APT.

Para que el ataque tenga éxito se requieren la redirección de la descarga y la nueva descarga del archivo. El parámetro Acquire::Retries debe tener un valor distinto de cero. A partir de Debian 12 y Ubuntu 22.04 LTS, por defecto está establecido en 3. Las versiones más antiguas son vulnerables solo si se cambia la configuración correspondiente. Los paquetes Snap no se ven afectados, ya que usan un mecanismo distinto para su instalación.

Se han preparado correcciones para Ubuntu 22.04, 24.04, 26.04 y 26.10. Para las versiones más antiguas, los parches están disponibles a través de Ubuntu Pro con las condiciones de soporte correspondientes. En Debian 12 el problema se corrige con APT 2.6.2, y en Debian 13 será necesaria la versión 3.0.4. Canonical expuso los detalles y recomendaciones en el análisis de la vulnerabilidad.

Antes de instalar las correcciones, los desarrolladores recomiendan desactivar temporalmente los reintentos de descarga fijando Acquire::Retries=0. Para actualizar se puede usar el comando sudo apt update && sudo apt upgrade -o Acquire::Retries=0. Cambiar los repositorios a HTTPS también protege contra la sustitución de tráfico en la red, pero no elimina la amenaza procedente de un espejo malicioso.

Los desarrolladores subrayan que, tras instalar el parche, el mecanismo de firmas digitales vuelve a garantizar la integridad de los paquetes independientemente de la fiabilidad de los servidores intermedios. A los responsables de sistemas Linux les conviene comprobar la configuración de actualizaciones y asegurarse de que la versión corregida de APT esté realmente instalada.