Vulnérabilité critique APT sous Debian et Ubuntu : comment un MitM peut exécuter du code en root

Une faille de sécurité majeure frappe le gestionnaire de paquets APT, pierre angulaire des distributions Debian et Ubuntu. Identifiée sous la référence CVE-2026-109518, cette vulnérabilité permet à un attaquant capable d’intercepter le trafic réseau de remplacer un paquet légitime par un paquet malveillant, puis d’exécuter du code avec les privilèges root. D’après les avis de sécurité publiés le 4 novembre 2026 par les équipes Debian, Ubuntu et les développeurs d’APT, l’attaque exploite le mécanisme de reprise des téléchargements échoués, activé par défaut depuis Debian 12 et Ubuntu 22.04. Cette article détaille le fonctionnement de la vulnérabilité, les versions impactées, les correctifs disponibles et les recommandations pour sécuriser vos systèmes.

Qu’est-ce que la vulnérabilité APT (CVE-2026-109518) ?

APT (Advanced Package Tool) est le gestionnaire de paquets utilisé par les distributions Linux basées sur Debian, dont Ubuntu, Linux Mint et Debian lui-même. Il télécharge et installe les logiciels depuis des dépôts distants. La faille CVE-2026-109518 a été découverte par le chercheur Max Justicz et qualifiée de critique par les développeurs d’APT. Elle permet à un attaquant positionné en homme du milieu (MitM) de modifier le flux HTTP entre le client APT et le serveur de paquets afin d’échanger un paquet validé (par vérification de signature GPG) contre un paquet arbitraire. Ce dernier s’exécute alors avec les droits root lors de l’installation.

Score CVSS et sévérité

Ubuntu a attribué à cette vulnérabilité un score CVSS 4.0 de 7,7 (élevé). La note est élevée car l’exploitation nécessite un accès réseau intermédiaire, mais aucune authentification. L’attaque est réalisable à distance et peut entraîner une compromission totale du système. Le fait que le code malveillant s’exécute avec les droits les plus élevés augmente considérablement le risque pour les environnements de production.

« L’attaquant peut être toute personne capable de modifier le trafic HTTP entre APT et le serveur de paquets, y compris un miroir malveillant ou un proxy. » - Avis de sécurité Ubuntu

Condition préalable : l’option Acquire::Retries

L’exploitation repose sur une particularité du comportement d’APT. Lorsque le téléchargement d’un paquet échoue (erreur temporaire, redirection HTTP), APT peut tenter de le relancer. Depuis Debian 12 et Ubuntu 22.04, ce mécanisme de reprise est activé par défaut dans le fichier de configuration apt.conf. Sur les versions plus anciennes (Debian 11, Ubuntu 20.04), il est désactivé par défaut, mais de nombreux scripts d’administration l’activent manuellement, exposant ainsi ces systèmes. Les développeurs d’APT précisent que beaucoup d’administrateurs ont ajouté l’option Acquire::Retries sans en mesurer les conséquences sécuritaires.

Comment fonctionne l’attaque ?

L’attaque se déroule en trois phases principales : interception, redirection et substitution. L’attaquant doit pouvoir intercepter le trafic HTTP (ou éventuellement HTTPS si le certificat est compromis, mais l’avis ne précise pas ce cas).

1. Interception du téléchargement : l’attaquant se place sur le réseau (via un point d’accès Wi-Fi malveillant, un proxy corrompu, ou en compromettant un routeur). Quand APT demande un paquet (fichier .deb), l’attaquant répond avec une erreur HTTP temporaire (code 5xx), forçant APT à retenter le téléchargement.

2. Redirection vers un serveur malveillant : lors des tentatives suivantes, l’attaquant répond par une redirection HTTP (code 3xx) vers un serveur contrôlé, hébergeant un paquet falsifié.

3. Substitution du paquet : APT télécharge le paquet depuis le serveur malveillant. Comme la vérification de signature GPG intervient après le téléchargement, et que le paquet légitime a déjà été validé lors de la mise à jour des listes (apt update), le paquet falsifié n’est pas correctement vérifié. Il est alors extrait et installé, et son code (par exemple un script postinst) est exécuté avec les droits root.

« L’attaque nécessite qu’APT retente des téléchargements ayant échoué, ce qu’il fait par défaut depuis Debian 12 et Ubuntu 22.04. » - Avis de sécurité Debian

Ce scénario est particulièrement dangereux dans les environnements où les mises à jour sont automatisées (ex : unattended-upgrades). Un attaquant peut ainsi compromettre un grand nombre de machines simultanément, sans interaction humaine.

Versions concernées et correctifs disponibles

Les distributions affectées incluent Debian (stable, testing), Ubuntu (plusieurs versions) et toutes les distributions dérivées qui utilisent APT non modifié. Les correctifs ont été publiés par les équipes respectives.

Déploiement des correctifs APT (versions corrigées)

Remarque : Ubuntu marquait encore huit versions comme vulnérables dans son tracker le 4 novembre à 15:46 UTC, bien que des correctifs aient été publiés. Il est donc impératif de vérifier et d’appliquer la mise à jour manuellement si elle n’est pas encore proposée automatiquement.

Mesures d’atténuation provisoires

Aucune des trois sources officielles (Debian, Ubuntu, APT developers) n’a fourni de workaround pour les systèmes ne pouvant pas être mis à jour immédiatement. Cependant, les administrateurs peuvent réduire l’exposition en désactivant la fonction Acquire::Retries. Cela empêchera les reprises de téléchargement, mais augmentera les échecs temporaires. Une autre mesure consiste à n’utiliser que des dépôts accessibles via HTTPS, car la faille n’est décrite que pour HTTP. Attention : si le certificat du dépôt HTTPS est piraté, l’attaque reste possible, mais le niveau de protection est supérieur.

Les développeurs d’APT déconseillent d’activer Acquire::Retries sur les systèmes ne pouvant pas recevoir le correctif.

Implications pour la sécurité des distributions Linux

Cette vulnérabilité rappelle plusieurs leçons essentielles pour la sécurité des chaînes d’approvisionnement logicielles. D’abord, la confiance dans les gestionnaires de paquets est un pilier des distributions Linux : une faille dans APT remet en question la sécurité de l’ensemble du système. Ensuite, l’option de reprise de téléchargement, bien que pratique, ouvre une porte dérobée qu’un attaquant peut exploiter avec des techniques simples de redirection HTTP. Enfin, les distributions basées sur Debian et Ubuntu (comme Kali Linux, Linux Mint, etc.) sont également exposées ; leurs équipes doivent donc rapidement intégrer les paquets APT corrigés.

Selon un rapport de l’ANSSI sur les menaces liées à la supply chain logicielle, les attaques de type « empoisonnement de dépôt » sont en augmentation de 40 % depuis 2024. CVE-2026-109518 s’inscrit dans cette tendance. Les équipes de sécurité doivent envisager des mesures complémentaires : vérification des sommes de contrôle côté client, supervision des flux réseau, et utilisation de proxies de mise en cache sécurisés.

Importance de la vérification GPG

Normalement, APT vérifie la signature GPG de chaque paquet téléchargé en comparant sa somme de contrôle avec celle présente dans le fichier Release.gpg du dépôt. La faille contourne cette vérification car l’attaquant ne modifie pas la phase de mise à jour des listes (apt update), mais uniquement le téléchargement du paquet lui-même. C’est une faille de synchronisation entre la vérification des métadonnées et celle du contenu. Les correctifs corrigent ce défaut en renforçant la validation.

Recommandations aux administrateurs systèmes

Pour protéger vos serveurs et postes de travail Debian/Ubuntu, voici les actions à mener dès maintenant :

1. Appliquer les mises à jour APT : exécutez sudo apt update && sudo apt upgrade après avoir vérifié que les dépôts de sécurité sont bien configurés. Surveillez la version d’APT installée (apt --version) ; elle doit correspondre à l’une des versions corrigées listées ci-dessus.
2. Désactiver Acquire::Retries si le correctif n’est pas encore appliqué : éditez le fichier /etc/apt/apt.conf.d/99retries et supprimez ou commentez la ligne Acquire::Retries "x". Sinon, ajoutez Acquire::Retries "0".
3. Forcer l’utilisation du protocole HTTPS pour tous les dépôts dans /etc/apt/sources.list : remplacez http:// par https://. Vérifiez que les dépôts officiels le supportent (c’est le cas pour la plupart).
4. Mettre en place une surveillance réseau : activez des alertes sur les redirections HTTP multiples à destination de votre serveur APT. Un outil comme snort ou zeek peut détecter des anomalies.
5. Auditer vos scripts : si vous avez activé manuellement Acquire::Retries sur des anciennes distributions (Debian 11, Ubuntu 20.04), corrigez-les immédiatement après avoir appliqué le correctif. Le fait que le support LTS de Debian 11 soit terminé ne signifie pas que vous devriez ignorer cette faille ; suivez les conseils des développeurs APT qui ont publié une version 2.2.5 spécifiquement pour ce cas.

Exemple de commande pour vérifier la configuration des retries

grep -r "Acquire::Retries" /etc/apt/apt.conf.d/

Si la commande retourne une ligne active, et que vous êtes sur une version vulnérable, désactivez-la en créant un nouveau fichier :

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99disable-retries

Puis redémarrez tout processus APT en cours (optionnel).

Conclusion : agir vite face à une menace sérieuse

La vulnérabilité CVE-2026-109518 constitue une menace sérieuse pour l’ensemble des systèmes Debian et Ubuntu. Bien que sa note CVSS soit de 7,7, l’impact potentiel est immense : une compromission root sans interaction utilisateur, via un mécanisme aussi répandu que la reprise de téléchargement APT. Les correctifs sont disponibles, mais leur déploiement n’est pas encore universel. En tant qu’administrateur, vous devez prioriser la mise à jour d’APT sur tous vos serveurs et postes de travail, et revoir vos configurations réseau pour limiter les attaques MitM. Dans un contexte où les chaînes d’approvisionnement sont de plus en plus ciblées, rester à jour et adopter des pratiques de défense en profondeur est essentiel. N’attendez pas : appliquez les correctifs dès aujourd’hui.