Faille APT sur Debian et Ubuntu : le gestionnaire de mises à jour peut installer un paquet piégé

1. Ce que dit l'alerte

APT vérifie chaque paquet à partir de données signées avant de l'installer. La faille contourne cette vérification. Quand une redirection HTTP envoie deux téléchargements vers la même adresse, APT peut les fusionner. Lors de la reprise d'un téléchargement interrompu, il traite le fichier de façon incorrecte, ce qui ouvre une courte fenêtre pour remplacer le paquet après sa vérification. Le paquet installé est alors celui de l'attaquant.

Le chercheur Max Justicz est cité comme l'auteur de la découverte. Il avait déjà trouvé en 2019 une faille d'APT de même famille, liée aux redirections (CVE-2019-3462). Ce n'est pas le même bug, mais la leçon se répète : les redirections et la gestion des téléchargements sont des zones à risque pour un outil de mise à jour.

2. Pourquoi ce n'est pas une urgence de panique

L'attaque n'est pas déclenchable à distance par n'importe qui. Elle demande plusieurs conditions réunies, ce qui explique que la gravité soit moindre qu'une faille exploitable directement depuis Internet.

En pratique, un serveur hébergé chez un fournisseur et qui interroge un miroir officiel est peu exposé. Le risque grimpe pour un portable utilisé sur un Wi-Fi public, pour un serveur qui passe par un proxy ou un miroir mal maîtrisé, et pour un réseau dont le routeur est compromis. Ces scénarios existent, d'où l'intérêt de corriger.

3. Les versions concernées

Votre système est protégé si la version d'APT installée est égale ou supérieure à la version corrigée de votre distribution.

Sur Ubuntu, ne comparez pas le numéro d'APT à celui de Debian. Les paquets d'Ubuntu portent leurs propres suffixes et leurs propres correctifs. Reportez-vous à l'avis USN correspondant. C'est la même logique que pour PHP, détaillée dans notre article sur PHP2Shell sur Ubuntu.

4. Vérifier et corriger

Connectez-vous au serveur et affichez la version d'APT, puis le paquet candidat à l'installation :

apt --version
apt-cache policy apt

Si la version installée est inférieure à la version corrigée, mettez APT à jour :

sudo apt update
sudo apt install --only-upgrade apt
apt --version

Faites d'abord cette opération depuis un réseau de confiance. Contrôlez ensuite d'où viennent vos paquets, pour repérer un miroir ou un proxy que vous ne reconnaissez pas :

grep -rhE "^(deb|URIs)" /etc/apt/sources.list /etc/apt/sources.list.d/
apt-config dump | grep -i -E "proxy|Retries"

Si vous ne pouvez pas mettre à jour tout de suite, une mesure provisoire consiste à désactiver les nouvelles tentatives, qui sont l'une des conditions de l'attaque. Les mises à jour deviennent moins fiables sur une connexion instable, donc retirez ce réglage dès que le correctif est installé :

echo 'Acquire::Retries "0";' | sudo tee /etc/apt/apt.conf.d/99-no-retries

Si les mises à jour automatiques sont activées (unattended-upgrades), vérifiez qu'elles ont bien tourné après la sortie du correctif :

grep -E "Start-Date|Upgrade:.* apt" /var/log/apt/history.log | tail -n 20

5. Réduire le risque durablement

Le correctif règle cette faille. La question de fond reste : quel chemin réseau emprunte la mise à jour de vos serveurs ? Quatre habitudes réduisent l'exposition à ce genre de problème.

6. Conformité

Appliquer les correctifs de sécurité fait partie des mesures attendues par l'article 32 du RGPD. Gardez une trace de la date de mise à jour et de la version installée sur chaque serveur. Les entités soumises à NIS2 doivent en plus démontrer une gestion des vulnérabilités suivie dans le temps. Un simple inventaire daté suffit souvent à prouver que vous avez agi.

7. Ce que 2LKATIME recommande

Faites l'inventaire de vos machines Debian et Ubuntu : serveurs, postes, conteneurs, runners de build. Notez la version d'APT, l'origine des paquets et l'état des mises à jour automatiques. Nos audits cybersécurité couvrent ce périmètre. Si vous gérez un site WordPress sur un VPS, relisez aussi notre article Faut-il couper son site en cas de faille critique ?.

Les entreprises de Paris, de Lyon ou de Bordeaux trouveront les formules sur nos pages tarifs. L'accompagnement se fait aussi à distance partout en France.

FAQ - Faille APT sur Debian et Ubuntu