Votre mise à jour Debian ou Ubuntu peut installer un paquet piégé

Concerné ?

Vous utilisez Debian ou Ubuntu : une mise à jour peut être exposée si APT télécharge ses paquets en HTTP et retente un téléchargement raté.

Ces nouvelles tentatives sont activées d’origine sur Debian 12, Ubuntu 22.04 et les versions suivantes. Sur les anciennes versions d’Ubuntu, elles doivent avoir été activées dans la configuration. Les applications installées en snap ne passent pas par ce mécanisme.

Comment on le sait

Clubic indique, le 5 novembre 2026, que Debian et Ubuntu ont publié des correctifs pour APT. Un attaquant capable d’intercepter le téléchargement ou de contrôler un miroir ou un proxy malveillant pourrait remplacer un paquet après sa vérification.

Ce qu’on ne sait pas : aucune exploitation n’était signalée à la date de l’article. On ignore si des ordinateurs ont été compromis par cette faille.

Le risque

Un paquet piégé installé de cette façon pourrait exécuter des instructions avec les droits administrateur et accéder à tout le système.

Toutes les mises à jour ne sont pas exposées : l’attaque exige notamment un téléchargement en HTTP, une nouvelle tentative et la présence d’un attaquant sur le trajet du fichier.

Le contexte

Le 22 janvier 2019, le CERT-FR alertait sur une autre faille d’APT liée aux redirections HTTP : un intercepteur pouvait faire accepter un paquet malveillant. L’autorité recommandait alors de désactiver provisoirement les redirections pendant l’installation du correctif. Cette fois, le contournement porte sur les nouvelles tentatives de téléchargement.

Quoi faire maintenant

Le correctif est disponible : installez-le sur votre ordinateur Debian ou Ubuntu, puis contrôlez la version d’APT.

1. Dès maintenant, dans un terminal, lancez sudo apt update && sudo apt upgrade -o Acquire::Retries=0. L’option désactive les nouvelles tentatives pendant l’installation du correctif.
2. Après la mise à jour, dans le même terminal, lancez apt list --installed '?source-package(^apt$)' pour contrôler la version d’APT. La version corrigée indiquée pour Ubuntu 24.04 est 2.8.4ubuntu0.1 ; pour Debian 13, c’est 3.0.4. Un correctif existe aussi pour Debian 12, sans numéro précisé dans l’article.