Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root

Se ha des­cu­bier­to una vul­ne­ra­bi­li­dad en el ges­tor de pa­que­tes APT de De­bian y Ubun­tu que po­si­bi­li­ta que un atac capaz de al­te­rar las des­car­gas de pa­que­tes re­em­pla­ce uno ve­ri­fi­ca­do por uno pro­pio. Como con­se­cuen­cia, el có­di­go del ata­can­te se eje­cu­ta con pri­vi­le­gios de root al mo­men­to de ins­ta­lar un pa­que­te, según ad­vir­tie­ron los de­sa­rro­lla­do­res de De­bian, Ubun­tu y APT. Esta ame­na­za re­quie­re que APT re­in­ten­te las des­car­gas fa­lli­das, una ac­ción con­fi­gu­ra­da por de­fec­to en ver­sio­nes re­cien­tes de ambos sis­te­mas ope­ra­ti­vos.

Los res­pon­sa­bles de De­bian ya han pues­to a dis­po­si­ción ver­sio­nes co­rre­gi­das para este fallo, mien­tras que los de­sa­rro­lla­do­res de APT in­for­man que las ac­tua­li­za­cio­nes co­rres­pon­dien­tes para Ubun­tu y su ser­vi­cio de sus­crip­ción están en pro­ce­so de lan­za­mien­to. Aun­que las edi­cio­nes más an­ti­guas no están ex­pues­tas de ma­ne­ra pre­de­ter­mi­na­da, los crea­do­res de APT ad­vier­ten que di­ver­sos scripts de usua­rios po­drían haber ac­ti­va­do la con­fi­gu­ra­ción de re­in­ten­tos en di­chas ver­sio­nes. Asi­mis­mo, se se­ña­la que las dis­tri­bu­cio­nes ba­sa­das en De­bian y Ubun­tu tam­bién se en­cuen­tran afec­ta­das por este pro­ble­ma.

Cual­quier per­so­na con la ca­pa­ci­dad de mo­di­fi­car el trá­fi­co HTTP entre APT y el ser­vi­dor de pa­que­tes, como pro­xies o ré­pli­cas ma­li­cio­sas, puede lle­var a cabo esta clase de ata­que. Para lo­grar­lo, se em­plean erro­res tem­po­ra­les de los ser­vi­do­res junto con re­di­rec­cio­nes HTTP que fuer­zan al ges­tor a re­in­ten­tar la des­car­ga. Las fuen­tes de los avi­sos no de­ta­llan ata­ques ac­ti­vos que ex­plo­ten esta falla ni pro­por­cio­nan al­ter­na­ti­vas de so­lu­ción tem­po­ral para aque­llos equi­pos que aún no pue­dan ac­tua­li­zar­se, y úni­ca­men­te des­cri­ben el ata­que me­dian­te HTTP sin es­pe­ci­fi­car si las fuen­tes de pa­que­tes ac­ce­si­bles a tra­vés de HTTPS re­sul­tan vul­ne­ra­bles.