Lỗ hổng CVE-2026-109518 trong APT cho phép chiếm quyền điều khiển hệ thống Linux

• Lỗ hổng CVE-2026-109518: Một lỗi nghiêm trọng trong APT cho phép kẻ tấn công thực hiện tấn công Man-in-the-Middle (MitM) để thay thế gói phần mềm hợp lệ bằng gói độc hại.
• Cơ chế khai thác: Lợi dụng cơ chế xử lý HTTP redirect và tính năng tự động thử lại (retry) của APT để ghi đè tệp tin sau khi đã xác thực.
• Tác động: Kẻ tấn công có thể đạt được quyền thực thi mã với đặc quyền root trên hệ thống mục tiêu.
• Khuyến nghị: Cập nhật ngay lập tức lên các phiên bản APT đã vá lỗi và ưu tiên sử dụng các mirror hỗ trợ HTTPS.

Tổng quan về lỗ hổng bảo mật CVE-2026-109518

Các nhà nghiên cứu bảo mật vừa công bố một lỗ hổng nghiêm trọng trong APT (Advanced Package Tool), trình quản lý gói cốt lõi trên các hệ điều hành dựa trên Debian và Ubuntu. Lỗ hổng này, được định danh là CVE-2026-109518, tạo điều kiện cho một kẻ tấn công đứng giữa (network spy) thực hiện đánh tráo các gói phần mềm hợp lệ bằng các gói độc hại, từ đó dẫn đến việc thực thi mã với đặc quyền root – cấp độ kiểm soát cao nhất trên hệ thống Linux.

Lỗ hổng này được phát hiện bởi nhà nghiên cứu Max Justicz và đã được Debian chính thức xác nhận vào ngày 4 tháng 11 năm 2026. Mặc dù APT vốn được thiết kế để kiểm tra chữ ký số của mỗi gói tin trước khi cài đặt, lỗ hổng này cho phép kẻ tấn công vượt qua cơ chế kiểm soát này bằng cách thao túng quá trình tải xuống thông qua các phản hồi HTTP redirect.

Phân tích kỹ thuật cơ chế khai thác

Về mặt kỹ thuật, lỗ hổng phát sinh khi APT thực hiện gộp hai luồng tải xuống khác nhau sau khi nhận được cùng một địa chỉ từ một HTTP redirect. Khi APT cố gắng tiếp tục một quá trình tải xuống bị gián đoạn, nó xử lý tệp tin không chính xác, tạo ra một khoảng thời gian ngắn (race condition) để kẻ tấn công thay thế gói tin sau khi nó đã được xác thực nhưng trước khi được cài đặt.

Để thực hiện thành công cuộc tấn công này, kẻ tấn công cần phải nằm ở vị trí trung gian giữa máy tính nạn nhân và máy chủ lưu trữ (archive server). Các kịch bản thực tế bao gồm:

• Mạng công cộng: Người dùng kết nối qua Wi-Fi công cộng không an toàn.
• Hạ tầng bị chiếm quyền: Sử dụng các proxy độc hại hoặc các mirror phần mềm đã bị thỏa hiệp.
• Tấn công định tuyến: Các bộ định tuyến (router) bị chiếm quyền điều khiển để chuyển hướng lưu lượng truy cập.

Lỗ hổng này phụ thuộc vào việc tái sử dụng hard link và yêu cầu máy khách phải tuân theo các lệnh chuyển hướng (redirect) cũng như thực hiện thử lại (retry) quá trình tải xuống.

Bảng tổng hợp các phiên bản bị ảnh hưởng và trạng thái vá lỗi

Theo thông tin từ Debian Security Tracker, các bản vá đã được phát hành thông qua các thông báo DSA-6607-1 và DLA-4880-1. Người dùng Ubuntu và các bản phân phối khác cần theo dõi thông báo từ nhà cung cấp của mình để áp dụng các bản cập nhật tương ứng.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Lỗ hổng chỉ kích hoạt khi giá trị cấu hình Acquire::Retries của APT lớn hơn 0. Mặc định trên Debian 12 và Ubuntu 22.04 LTS, giá trị này là 3. Để giảm thiểu rủi ro tạm thời trước khi áp dụng bản vá, quản trị viên có thể thực hiện các biện pháp sau:

• Vô hiệu hóa thử lại: Thiết lập Acquire::Retries về 0 trong cấu hình APT.
• Sử dụng HTTPS: Ưu tiên cấu hình các mirror sử dụng giao thức HTTPS để ngăn chặn việc can thiệp vào lưu lượng mạng.
• Cập nhật hệ thống: Thực hiện lệnh cập nhật ngay khi có bản vá từ kho lưu trữ chính thức.

# Kiểm tra và cập nhật hệ thống trên Debian/Ubuntu
sudo apt update
sudo apt upgrade

⚠️ Cảnh báo quan trọng: Việc vô hiệu hóa Acquire::Retries có thể làm giảm độ tin cậy của quá trình cập nhật trên các kết nối mạng không ổn định. Đây chỉ là giải pháp tạm thời (workaround). Việc nâng cấp lên phiên bản APT mới nhất là yêu cầu bắt buộc để đóng hoàn toàn lỗ hổng CVE-2026-109518 cũng như các lỗi truy cập ngoài phạm vi (out-of-bounds) khác.

Lịch sử bảo mật của APT từng ghi nhận một lỗ hổng tương tự vào năm 2019 với mã CVE-2019-3462, cũng liên quan đến việc thực thi mã từ xa thông qua các lệnh chuyển hướng HTTP. Điều này nhấn mạnh tầm quan trọng của việc kiểm soát chặt chẽ các công cụ cập nhật phần mềm, vốn là những thành phần có đặc quyền cao nhất trong hệ thống.