APT 3.3.6 a fost lansat: Remediere de securitate pentru ocolirea verificării descărcărilor și rezolvarea erorilor de memorie

 

APT (Advanced Package Tool), managerul de pachete fundamental utilizat de Debian, Ubuntu și alte distribuții derivate pentru instalarea, actualizarea și eliminarea programelor, a primit versiunea 3.3.6. Actualizarea aduce o corecție de securitate critică legată de integritatea fișierelor descărcate, elimină două riscuri de acces în afara limitelor de memorie și îmbunătățește mecanismul intern de rezolvare a dependențelor.

Corecție de securitate: Ocolirea verificării descărcării (CVE-2026-109518)

Principala modificare din această versiune este remedierea vulnerabilității CVE-2026-109518, care permitea ocolirea verificării integrității pachetelor descărcate:

• Mecanismul de corecție: Dezvoltatorii au modificat rutinele de descărcare din APT astfel încât fișierele țintă să fie deschise exclusiv (exclusive access). Această măsură blochează tentativele de acces concurent sau modificările din exterior în timpul procesului activ de transfer al fișierelor.

Protecție împotriva accesului în afara limitelor de memorie și rezolvarea dependențelor

APT 3.3.6 soluționează două scenarii de acces nevalid în memorie (out-of-bounds access):

1. Parserul de pachete DEB: Respinge explicit pachetele care nu conțin câmpul obligatoriu Version, eliminând un potențial comportament nedefinit la citirea metadatelor.

2. Rezolvitorul de dependențe (Dependency Solver): Comparatorul workLess a fost corectat pentru a garanta o ordonare strict slabă (strict weak ordering), o condiție matematică necesară pentru ca algoritmii interni de sortare să funcționeze fără blocaje sau referințe invalide.

Profilare de performanță și cadru avansat de testare

• Măsurători de performanță: Instrumentele interne de evaluare a performanței scalează corect contoarele hardware multiplexate, setează flag-ul CLOEXEC pe descriptorii de fișiere folosiți la monitorizare și previn copierea accidentală a obiectelor de context.

• Testare bazată pe proprietăți prin Hegel: Acoperirea automată a testelor a fost extinsă prin integrarea framework-ului Hegel. Noile teste acoperă compararea versiunilor Debian, comportamentul de rezolvare a dependențelor, parsarea metadatelor și manipularea șirurilor text (inclusiv gestionarea spațiilor albe în șiruri Base64 și a cuvintelor între ghilimele).

Disponibilitate în distribuții

Pachetul APT 3.3.6 este disponibil în prezent în ramura de dezvoltare Debian Unstable (Sid).

Utilizatorii de Debian Stable sau Ubuntu nu vor primi direct această versiune de sine stătătoare în depozitele principale, deoarece aceste distribuții aplică de regulă patch-urile de securitate prin backport pe versiunile proprii de APT deja înghețate în ciclul de lansare.

Sursa articolului: Linuxiac — APT 3.3.6 Released with Security Fix for Download Verification Bypass