Debian 修复 apt 中间人攻击漏洞，自建服务器今晚升一下

作者：林序

Debian 11 月 4 日发布安全公告 DSA-6607-1，修复 apt 包管理器的中间人攻击漏洞（CVE-2026-109518）：装包过程中软件包可能在校验后被替换，并以 root 权限执行代码。trixie 修复版本为 3.0.4，Ubuntu 同日发布对应更新。

Debian 在 11 月 4 日发布安全公告 DSA-6607-1，修复包管理器 apt 的一个中间人攻击漏洞，编号 CVE-2026-109518。当前稳定版 trixie 的修复版本是 apt 3.0.4。

问题出在下载环节。apt 在 HTTP 重定向后可能把两个不同的包下载合并到一起；断点续传时的文件处理也存在缺陷。结果是软件包通过校验之后仍能被攻击者替换，最终以 root 权限执行任意代码。漏洞由 Max Justicz 发现。

触发有条件：客户端需要跟随重定向、重试下载，也就是 Acquire::Retries 设为非零值。Debian 12（bookworm）和 Ubuntu 22.04 起这个值默认为 3，更早的版本在默认配置下不受影响。

Ubuntu 也受影响，同一天发布 USN-8996-1：22.04、24.04、26.04、26.10 均已有修复包，更早的 LTS 需通过 ESM 渠道获取。Ubuntu 给出的 CVSS v4.0 评分为 7.7，属高危。Debian 旧版本对应的公告是 DLA-4880-1。

这里的中间人（MITM）指的是装包时下载链路被恶意镜像、代理或网络中间环节劫持，正常包被换成恶意包，并不代表服务器已经被入侵。两份公告都没有提到该漏洞已被实际利用；这次更新另外修了几处越界访问问题。

要做的很简单：执行 apt update && apt upgrade 升到修复版本，软件源保持官方地址，别随手加来历不明的镜像。

转载说明

本文根据以下公开资料整理，原文及配图出处见下方。

• [S1] Debian apt security update (man-in-the-middle)
• [S2] SECURITY DSA 6607-1 apt security update
• [S3] CVE-2026-109518
• [S4] CVE-2026-109518 | Ubuntu
• 配图 1：来源：Ubuntu（图片署名见原文） · 图片出处