Злоумышленник может воспользоваться «багом» в менеджере APT для установки вредоносного кода в систему Linux и удалённого его запуска. В последней версии уязвимость исправлена.

Удаленно? – Без проблем

В популярной программе для Linux пакетном менеджере APT выявлена критическая уязвимость, чреватая удалённым запуском произвольного кода в системе. 

APT (Advanced Packaging Tool) – это менеджер установки и удаления программных пакетов, который используется в ОС Debian Linux и в многочисленных дистрибутивах на его основе, в частности, чрезвычайно популярном Ubuntu. Он применяется и в нескольких других дистрибутивах Linux.

Независимый эксперт по информационной безопасности Макс Юстиш(Max Justicz), обнаруживший «баг», утверждает, что эта уязвимость может эксплуатироваться удаленно. Злоумышленник в MITM-позиции («человек посередине») может спровоцировать запуск произвольного кода на целевой машине, где производится установка любого пакета, с уровнем прав root. 

Недоочистка

Проблема заключается в том, что APT некорректно производит очистку некоторых параметров при редиректах HTTP, так что MITM-атакующий может произвести инъекцию вредоносного контента и заставить систему установить «испорченные» пакеты. 

При использовании команды apt-get системы под Linux могут производить автоматический запрос пакетов с сервера-зеркала, когда другие источники недоступны. Если первый сервер не позволяет скачать пакет, он перенаправляет запрос на следующий подходящий сервер. Злоумышленник может перехватить соединение между APT и зеркалом и заставить APT скачать и установить посторонний контент, при этом пакетный менеджер в любом случае будет рассматривать его как легитимный.

В новейшей версии (1.4.9) APT эта проблема уже устранена; уязвимость CVE-2019-3462 затрагивает только версии 0.8.15-1.4.8.

«Классический случай, когда популярность программного компонента оказывается фактором, увеличивающим остроту проблемы, – отмечает Олег Галушкин, директор по информационной безопасности компании SEC Consult Services. – Остаётся надеяться, что этот "баг" не был широко известен злоумышленникам до его исправления. Его довольно легко эксплуатировать, а последствия могут оказаться самыми плачевными». Пользователям настоятельно рекомендуется обновить APT.