USN-8996-1: falla in APT permette l'installazione di pacchetti non verificati come root

Canonical ha pubblicato il 4 novembre 2026 l'avviso USN-8996-1, che corregge una falla in APT capace di far installare pacchetti non verificati con privilegi di amministratore. Per chi gestisce flotte di server Ubuntu, la questione tocca il cuore del sistema di aggiornamento: se un attaccante riesce a mettersi sul percorso di rete, può in certe condizioni ottenere esecuzione di codice come root durante un normale apt update && apt upgrade.

Il bug: hard link, redirect e retry

Il ricercatore Max Justicz ha scoperto che APT gestisce in modo scorretto gli hard link quando incontra redirect e ritenta il download di pacchetti. In pratica, un attaccante remoto on-path potrebbe sfruttare il problema per indurre APT a installare un pacchetto non verificato e ottenere esecuzione di codice da remoto con privilegi root.

Il meccanismo, tracciato come CVE-2026-109518, nasce quando un redirect fa puntare due download diversi alla stessa URI: secondo l'avviso Debian, APT può unire due download di pacchetti separati quando un redirect fa sì che condividano la stessa URI. Quando il download viene poi ripreso, la gestione scorretta degli hard link riutilizzati può consentire che il contenuto associato a un pacchetto già verificato venga sovrascritto. Canonker, in qualità di CVE Numbering Authority, assegna un punteggio di 7.7 High sotto CVSS 4.0.

La condizione di esposizione pratica: il problema colpisce di default Ubuntu 22.04 LTS e le release successive; le release più vecchie sono interessate solo se l'impostazione Acquire::Retries è diversa da zero, parametro che di default vale 3 dalla versione 2.3.2 di apt.

Versioni corrette e mitigazione

Release	Pacchetto apt corretto
26.10	3.3.3ubuntu0.1
26.04 LTS	3.2.1ubuntu0.1
24.04 LTS	2.8.4ubuntu0.1
22.04 LTS	2.4.15ubuntu0.1
20.04 LTS	2.0.12+esm1 (Ubuntu Pro)
18.04 LTS	1.6.19+esm1 (Ubuntu Pro)
16.04 LTS	1.2.36+esm1 (Ubuntu Pro + Legacy add-on)
14.04 LTS	1.0.1ubuntu2.24+esm4 (Ubuntu Pro + Legacy add-on)

Per chi non può aggiornare subito, una mitigazione temporanea è impostare Acquire::Retries "0" nella configurazione APT e spostare i mirror su HTTPS, che rende più difficile per un attaccante iniettare i redirect necessari all'attacco. Non è un caso isolato: lo stesso Justicz aveva già individuato un bug analogo sui redirect di APT nel 2019, tracciato come CVE-2019-3462.

Su chi usa Focal, Bionic, Xenial o Trusty, la patch è disponibile solo tramite Ubuntu Pro, gratuito fino a cinque macchine.