Debian'ın APT paket yöneticisinde uzaktan kod yürütme açığı bulundu
Öne çıkanlar
- CVE-2026-109518 açığı aradaki adam saldırısıyla root yetkisinde kod çalıştırmaya yol açtı.
- Açık, HTTP yönlendirmesi ve kesintiye uğrayan indirmelerin devam ettirilmesi sırasındaki dosya yönetiminden kaynaklandı.
- Debian ekibi sorunu kararlı sürüm için APT 3.0.4 versiyonuyla çözdü.
Debian projesi, APT paket yöneticisinde aradaki adam saldırısına imkan tanıyan kritik bir güvenlik açığını kapattığını duyurdu. Araştırmacı Max Justicz tarafından keşfedilen ve CVE-2026-109518 koduyla izlenen açık, ağ trafiğine müdahale edebilen saldırganların hedef sistemlerde en yetkili kullanıcı seviyesinde kod çalıştırmasına yol açıyor. Güvenlik bildirimine göre sorun, APT'nin paket indirme süreçlerindeki dosya yönetiminden kaynaklanıyor.
Yayımlanan DSA 6607-1 kodlu güvenlik bültenine göre zafiyet, bir HTTP yönlendirmesi sonucu iki farklı paket indirmesinin aynı URI adresine yönelmesi durumunda ortaya çıkıyor. İndirme işlemi yeniden başlatılırken hatalı dosya işleme mekanizması devreye giriyor ve saldırganlar doğrulama aşamasından sonra paketi değiştirerek yerine zararlı dosya yerleştirebiliyor. Bu durum paketlerin root yetkisiyle kurulması sırasında kötü niyetli kodların doğrudan sistemde çalıştırılmasına zemin hazırlıyor.
Debian ekibi güvenlik riski nedeniyle kullanıcıların APT paketlerini vakit kaybetmeden güncellemelerini tavsiye etti. Sorun, Debian'ın kararlı sürümü için yayımlanan 3.0.4 numaralı APT güncellemesiyle giderildi. Yeni güncelleme ayrıca paket yöneticisinde tespit edilen sınır dışı bellek erişimiyle ilgili çeşitli diğer hataları da kapsıyor.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.