Une faille APT permet à un attaquant en position d'homme du milieu d'exécuter du code root sur Debian et Ubuntu.

Une faille APT vient d’être révélée dans le gestionnaire de paquets de Debian et d’Ubuntu. Elle concerne des outils que des millions de serveurs et de postes de travail Linux utilisent chaque jour. Ainsi, un attaquant capable de modifier les téléchargements peut remplacer un paquet vérifié par le sien. Son code s’exécute ensuite avec les droits root.

Les avis de sécurité ont été publiés le 4 novembre par Debian, par Ubuntu et par les développeurs d’APT. Ils décrivent un scénario d’attaque de type homme du milieu (MitM). En effet, il suffit que l’attaquant puisse intervenir sur le trafic entre la machine et le dépôt de paquets.

Que permet cette faille APT ?

APT est l’outil central de la gestion des logiciels sur Debian, Ubuntu et leurs dérivés. D’abord, il télécharge les paquets. Ensuite, il vérifie leur intégrité, puis il les installe. Cette vérification est au cœur du modèle de confiance. En effet, elle garantit que le logiciel installé est bien celui publié par la distribution.

Or, la vulnérabilité contourne cette garantie dans un cas précis. Un attaquant qui contrôle ou altère le flux réseau peut substituer un paquet contrôlé à un paquet légitime. APT considère alors ce paquet comme valide. Autrement dit, le contrôle d’intégrité ne joue plus son rôle.

La conséquence est lourde. L’installation d’un paquet s’effectue avec les privilèges les plus élevés du système. De plus, un paquet peut embarquer des scripts exécutés pendant l’installation. Le code de l’attaquant s’exécute donc en tant que root. L’utilisateur n’a rien à faire de particulier.

Un mécanisme de nouvelle tentative au cœur du problème

L’attaque dépend d’un comportement précis d’APT. En effet, elle nécessite que l’outil relance les téléchargements qui échouent. Ce comportement est activé par défaut à partir de Debian 12. Les avis détaillent les versions concernées. Il convient donc de s’y reporter pour une liste exhaustive.

Ce détail a une importance pratique. En effet, la fonction de relance est conçue pour améliorer la fiabilité. Elle évite qu’une coupure réseau brève fasse échouer une mise à jour. Cependant, c’est précisément ce mécanisme qui ouvre ici une brèche exploitable.

Par ailleurs, l’exploitation suppose une position privilégiée sur le réseau. L’attaquant doit pouvoir intervenir sur les téléchargements. Cela peut se produire sur un réseau Wi-Fi public, sur un réseau d’entreprise compromis ou chez un fournisseur intermédiaire malveillant. Le risque n’est donc pas identique pour tous les environnements.

Qui est concerné et quel est le niveau de risque ?

Les systèmes Debian et Ubuntu sont les premiers exposés. Les dérivés qui s’appuient sur APT peuvent l’être également, selon la version utilisée. Les serveurs en production, les conteneurs et les machines de développement utilisent tous ce gestionnaire. Ils entrent donc potentiellement dans le périmètre.

Il faut toutefois relativiser. L’attaquant doit déjà se placer sur le chemin réseau de la victime. Ce n’est pas une exploitation à distance triviale. En revanche, l’impact est maximal une fois la condition remplie. Il s’agit d’une exécution de code avec les droits root et d’une compromission complète de la machine.

Les informations disponibles ne précisent pas d’identifiant CVE. Elles n’indiquent pas non plus d’exploitation active dans la nature. Il est donc prudent de consulter directement les avis officiels de Debian et d’Ubuntu. Ils fournissent les numéros de version corrigés et les détails techniques à jour.

Cette affaire rappelle aussi un principe classique de la sécurité des chaînes d’approvisionnement logicielles. Un outil de confiance peut devenir un vecteur d’attaque. Ainsi, un défaut dans un mécanisme de vérification est souvent plus grave qu’un simple bogue fonctionnel. Il compromet la base sur laquelle repose tout le système.

Recommandations

Les administrateurs doivent agir en priorité sur les machines exposées à des réseaux non maîtrisés. Voici donc les étapes à suivre.

• Lire les avis officiels publiés le 4 novembre par Debian, Ubuntu et les développeurs d’APT.
• Installer la mise à jour d’APT dès qu’elle est disponible pour votre version de distribution.
• Vérifier les versions en place, en particulier sur Debian 12 et les systèmes concernés par la relance automatique des téléchargements.
• Éviter les mises à jour sur des réseaux non fiables, comme les Wi-Fi publics, tant que le correctif n’est pas appliqué.
• Surveiller les journaux d’installation et les échecs de téléchargement inhabituels sur les serveurs critiques.

Ce qu’il faut retenir

La faille APT permet de substituer un paquet vérifié par un paquet malveillant. Le code s’exécute alors en root. En effet, l’attaque exige une position d’homme du milieu. Elle exige également le mécanisme de relance des téléchargements, actif par défaut depuis Debian 12. Appliquez donc les correctifs officiels sans attendre et limitez les mises à jour sur les réseaux peu sûrs.

Source : Debian and Ubuntu APT Flaw Lets MitM Attackers Swap Verified Packages and Run Code as Root