Kritični popravek za Debianov Apt

Včeraj je varnostni raziskovalec Max Justicz objavil varnostno luknjo v programu Apt, ki v Debian Linuxu (in njegovih izpeljankah, tudi popularnemu Ubuntuju) skrbi za upravljanje s programi (namestitev, nadgradnjo, odstranitev, itd).

Varnostna luknja z oznako CVE-2019-3462 je s strani projekta Debian že dobila popravek. Napaka temelji na dejstvu, da Apt uporablja navaden HTTP namesto šifriranega HTTPS. Podatke (namestitvene pakete) prenese preko HTTPja in na koncu preveri kriptografski podpis, a kot je ugotovil (in prikazal) Justicz je tak način ranljiv na napad man-in-the-middle (MITM). Napadalec bi lahko prestregel tak promet - poslal lastni programski paket, hkrati pa nadziral podpis, s katerim ga Apt preveri. S tem bi lahko lastno kodo zagnal z root (administratorskimi) pravicami.

Ena težava pri popravku je ta, da Apt uporablja samega sebe tudi za lastno nadgradnjo. Verjetnost za tak napad je sicer majhna, a se administratorjem priporoča, da onesposobijo preusmeritve (redirects). Apt te preusmeritve sicer uporablja, ko ne najde povezave do prvega strežnika za programske pakete. Za varno nadgradnjo sistema se tako priporoča uporaba sledečih ukazov:

sudo apt update –o Acquire::http::AllowRedirect=false

sudo apt upgrade –o Acquire::http:AllowRedirect=false