Canonical
Una vulnerabilidad en APT permite obtener acceso root en Debian y Ubuntu vía HTTP
Entradilla
El fallo CVE-2026-109518 permite inyectar paquetes maliciosos mediante ataques intermediarios en conexiones sin cifrar. Los parches de seguridad ya están disponibles.
Claves de la noticia
- Max Justicz descubrió la vulnerabilidad CVE-2026-109518 en el backend HTTP del gestor APT.
- Un atacante en la red puede manipular tráfico HTTP sin cifrar para forzar la instalación de un paquete .deb malicioso y lograr acceso root.
- Ubuntu 22.04 LTS y versiones posteriores son vulnerables por defecto debido a la configuración de reintentos de descarga.
- El cifrado HTTPS y el uso de paquetes Snap previenen la explotación.
- Canonical y Debian ya han desplegado los parches correctivos para todas las versiones con soporte.
El investigador Max Justicz descubrió y reportó de forma responsable una vulnerabilidad de alta gravedad en el gestor de paquetes APT que afecta a Debian, Ubuntu y sus distribuciones derivadas. Registrada bajo el identificador CVE-2026-109518, Canonical reveló públicamente el aviso de seguridad el 4 de noviembre catalogándolo con prioridad alta y una puntuación CVSS 4.0 de 7.7.
Vector de ataque y ejecución con privilegios de root
El problema de seguridad reside en el backend HTTP invocado por la librería APT. Este componente afecta a utilidades de línea de comandos como `apt`, `apt-get`, `aptitude` y a cualquier interfaz basada en APT, incluidas las aplicaciones gráficas de Ubuntu.
«Un atacante intermediario que pueda manipular el tráfico HTTP entre un sistema y un servidor de archivos puede forzar la instalación de un archivo de paquete .deb controlado por el atacante y obtener privilegios de root», explicó Canonical en su comunicado oficial recogido por GamingOnLinux.
El uso de conexiones TLS a través de HTTPS protege frente a este fallo. Otros métodos de transporte, como el protocolo FTP, no se ven afectados por el problema. El formato de paquetes Snap tampoco sufre la vulnerabilidad, ya que opera con un gestor independiente ajeno a la infraestructura de APT.
Condiciones de explotación y versiones afectadas
La ejecución del fallo requiere que el cliente reintente una descarga fallida en la red. Ubuntu 22.04 LTS (Jammy Jellyfish) y las versiones posteriores del sistema operativo están afectadas por defecto. En cambio, las versiones previas solo son vulnerables si el parámetro de configuración `Acquire::Retries` tiene asignado un valor distinto de cero. Si dicha directiva se fija en 0, el cliente no reintenta transferencias interrumpidas y el vector queda anulado.
Canonical ha publicado actualizaciones de seguridad para todas las ramas afectadas de Ubuntu. En el ecosistema Debian, el proyecto corrigió la vulnerabilidad en diferentes ramas de mantenimiento según detalla su portal de seguridad consultado por GamingOnLinux:
* Debian trixie (estable): parcheado en la versión 3.0.4.
* Debian Bookworm: corregido en la versión 2.6.2.
* Debian Unstable: solventado a partir de la versión 3.3.6.
«Para la distribución estable (trixie), este problema ha sido solucionado en la versión 3.0.4. Además, esta actualización resuelve varios problemas de acceso fuera de límites», confirmó Debian en su comunicado técnico.
Siguiente lectura
Cobertura relacionada
Enlaces internos reales del grafo editorial disponible.
Historial de cobertura
Noticia
SteamVR Beta 2.19.1 eleva la resolución en streaming y optimiza su soporte en Linux
Valve actualiza SteamVR Beta con un pipeline de renderizado directo, mayor resolución por defecto en Steam Link y mejoras para Flatpak en Linux.
Noticia
El kernel Linux 7.3 se estrena con mejoras de VRAM y soporte de hardware gaming
Linus Torvalds publica el kernel Linux 7.3, una actualización con optimizaciones de VRAM, mejoras de CPU y soporte para el nuevo Steam Controller y la MSI Claw.
Noticia
3dSen 2.0 actualiza su emulador de NES en dioramas 3D con renderizado subvóxel y 64 bits
El emulador 3dSen lanza su versión 2.0 con nuevo modo de renderizado Retina, reducción de latencia mediante Run Ahead y compatibilidad con OpenXR en su edición de realidad virtual.