أصدر مشروع دبيان تحذيراً أمنياً رسمياً يتعلق بمدير الحزم الخاص به. تحت المعرف CVE-2026-109518، تم رصد ثغرة أمنية خطيرة كانت تتيح لأي طرف خبيث استبدال الحزمة البرمجية بعد اجتيازها لفحص السلامة، مما يفتح الباب أمام تنفيذ تعليمات برمجية خبيثة بصلاحيات الجذر الكاملة.
آلية استغلال الثغرة في مدير الحزم APT
اكتشف الباحث الأمني ماكس جوستيكز (Max Justicz) هذه الثغرة وتم توثيقها في النشرة الأمنية DSA-6607-1. تعتمد الثغرة على سوء إدارة عمليات التنزيل المقطوعة والتي يتم استئنافها عبر بروتوكول HTTP.
عند حدوث إعادة توجيه في الشبكة وتلاقي تدفقين منفصلين نحو نفس الوجهة، يقوم مدير الحزم بدمج الحزم بشكل خاطئ. إذا كان المهاجم يمتلك القدرة على اعتراض حركة المرور في الشبكة، فيمكنه حقن ملف معدل مباشرة بعد مرحلة التحقق المشفر.
الإصدار 3.0.4 كحل جذري لنظام Debian Trixie
لمواجهة هذا الخطر، أتاح مطورو التوزيعة الإصدار 3.0.4 من حزمة APT المخصص للفرع المستقر Trixie. لا يقتصر هذا التحديث على إغلاق ثغرة الاستبدال فحسب، بل يعالج أيضاً عدة أخطاء برمجية مرتبطة بالوصول إلى الذاكرة خارج الحدود المسموحة. يجب على مسؤولي الأنظمة ومستخدمي دبيان الشروع في تحديث الحزم فوراً لتأمين خوادمهم وأجهزتهم.
