Descoberta falha grave no APT do Debian

Max Justicz, um cientista da computação formado pelo MIT em 2017, anunciou ontem a descoberta de uma gravíssima falha no APT, o gerenciador de pacotes do Linux Debian, o que também afeta distros associadas a ele como Ubuntu e Kali pro exemplo. Ele conta que “essa vulnerabilidade no APT permite que um man-in-the-middle na rede (ou um mirror malicioso de pacotes) execute código arbitrário como root na máquina onde está sendo instalado o pacote”. Segundo o Security Advisory da Debian sobre o assunto (DSA-4371-1), “o código que manipula redirecionamentos HTTP no método de transporte HTTP não limpa adequadamente os campos transmitidos na conexão. Essa vulnerabilidade pode ser usada por um invasor intermediário entre o APT e um espelho, para injetar conteúdo malicioso na conexão HTTP. Esse conteúdo pode então ser reconhecido como um pacote válido pelo APT e usado posteriormente para execução de código com privilégios de root na máquina de destino”. Os avisos da Debian e do Ubuntu, incluindo instruções para correção do problema, estão nos seguintes endereços