APT-Lücke auf Debian und Ubuntu erlaubt Paketaustausch per MitM und Codeausführung als root

Was passiert ist

Am 4. November 2026 haben Debian und Ubuntu Sicherheitshinweise zu einer Lücke in APT veröffentlicht, dem Paketmanager, der auf beiden Distributionen eingesetzt wird. Ein Angreifer, der Paket-Downloads während der Übertragung verändern kann (eine Position als Man-in-the-Middle), kann ein Paket, das APT bereits verifiziert hat, durch ein anderes ersetzen. Da Pakete mit Root-Rechten installiert werden, führt dies zur Codeausführung als root auf dem betroffenen System.

Der Angriff hängt von den Wiederholungsversuchen von APT ab. Wiederholungsversuche sind ab Debian 12 standardmäßig aktiviert. Zum jetzigen Zeitpunkt liegen keine Berichte über eine aktive Ausnutzung vor.

Wer betroffen ist

• Server mit Debian oder Ubuntu, auf denen APT-Wiederholungsversuche aktiviert sind, was ab Debian 12 der Standard ist.
• Systeme, die Pakete über einen Netzwerkpfad herunterladen, den ein Angreifer manipulieren könnte, zum Beispiel unsichere Netze, gemeinsam genutzte Hosting-Netze, kompromittierte Router oder Proxys oder reine HTTP-Spiegelserver.

Die genauen betroffenen und korrigierten APT-Versionen sind in unseren Quelldaten nicht enthalten. Prüfen Sie die Sicherheitshinweise von Debian und Ubuntu über die unten verlinkte Referenz, um die für Ihre Version zutreffenden Versionen zu ermitteln.

Was Sie jetzt tun sollten

1. Ermitteln Sie in den Debian- oder Ubuntu-Sicherheitshinweisen die korrigierte APT-Version für Ihre Distribution und Ihren Release-Stand.
2. Installieren Sie das Update über einen Netzwerkpfad, dem Sie vertrauen, idealerweise über HTTPS-Spiegelserver oder aus Ihrem eigenen vertrauenswürdigen Netz:

   sudo apt update
   sudo apt install --only-upgrade apt
   

3. Prüfen Sie, ob die installierte Version mit der korrigierten Version aus dem Sicherheitshinweis übereinstimmt:

   apt --version
   dpkg -l apt
   

4. Bis alle Server aktualisiert sind, vermeiden Sie Paketinstallationen oder Upgrades über unsichere Netze. Als vorübergehende Maßnahme können Sie die Wiederholungsversuche von APT deaktivieren, von denen der Angriff abhängt, indem Sie die Datei /etc/apt/apt.conf.d/99no-retries mit der Zeile Acquire::Retries "0"; anlegen. Entfernen Sie die Datei wieder, sobald APT gepatcht ist, falls Sie auf Wiederholungsversuche angewiesen sind.
5. Bevorzugen Sie in Ihren Quelllisten (/etc/apt/sources.list und /etc/apt/sources.list.d/) HTTPS-Spiegelserver, sofern Ihr Spiegelserver dies unterstützt.
6. Rollen Sie das Update auf alle Debian- und Ubuntu-Server, Container und Basis-Images aus, die Sie pflegen, einschließlich Automatisierungen wie unattended-upgrades und Image-Builds.

So prüfen Sie, ob Sie betroffen sind

• Vergleichen Sie die Ausgabe von dpkg -l apt mit der im Sicherheitshinweis für Ihre Version genannten korrigierten Version. Ist Ihre Version älter, ist der Server betroffen.
• Prüfen Sie, ob Wiederholungsversuche konfiguriert sind: apt-config dump | grep -i retries. Unter Debian 12 und neueren Versionen sind sie standardmäßig aktiv, auch wenn keine explizite Einstellung erscheint.
• Sehen Sie die letzten Paketaktivitäten durch, etwa Installationen oder Upgrades, die Ihnen unbekannt sind: /var/log/apt/history.log, /var/log/apt/term.log und /var/log/dpkg.log.
• Hat ein Server Pakete über ein unsicheres Netz installiert, bevor er gepatcht wurde, und zeigt er unerwartete Aktivitäten, sollten Sie von einer möglichen Kompromittierung ausgehen: Suchen Sie nach unbekannten Benutzern, Cron-Jobs, systemd-Units und SSH-Schlüsseln, und ziehen Sie in Betracht, den Server aus einem bekannten, sauberen Zustand neu aufzusetzen. Beachten Sie, dass Werkzeuge wie dpkg --verify Dateien mit den eigenen Prüfsummen des installierten Pakets vergleichen und ein als Ganzes ausgetauschtes Paket daher nicht erkennen.

Quellen

• https://thehackernews.com/2026/11/debian-and-ubuntu-apt-flaw-lets-mitm.html