В сообществе open-source набирает обороты независимая инициатива по спасению инфраструктуры развертывания Ubuntu. На официальном форуме Ubuntu Discourse контрибьюторы выдвинули требование к Canonical: незамедлительно выпустить внеплановые образы 22.04.6 LTS и 24.04.6 LTS. Причиной такой радикальной просьбы стала критическая уязвимость в пакетном менеджере APT (CVE-2026-109518), которая буквально ломает доверие к чистым установкам ОС.
Суть проблемы: атака «на лету»
Нашедшие уязвимость специалисты классифицируют её как «состояние гонки» (TOCTOU) при повторных попытках загрузки пакетов по HTTP. Вредоносное зеркало репозитория или злоумышленник с доступом к трафику (MitM) могут подменить оригинальный .deb-файл прямо в процессе скачивания. Подмена происходит уже после того, как APT проверил контрольные суммы и подписи, но до распаковки. Итог — выполнение любого кода на сервере с правами root.
Почему стандартных патчей недостаточно?
Canonical оперативно закрыла дыру в репозиториях для работающих систем. Однако авторы инициативы указывают на так называемый «парадокс начальной загрузки» (bootstrapping paradox).
Все официальные ISO-образы дистрибутивов и готовые шаблоны для облаков (например, версии 22.04.5 или 24.04.5) до сих пор несут в себе старый, уязвимый APT. Когда администратор, автоматический скрипт разворачивает чистый сервер и запускает первое обновление apt-get upgrade, система обращается к сети, используя уязвимый инструмент. Это же происходит и при первом обращении служб обновлений, например update-manager, который в момент первой загрузки с live-образа всегда включается. В это микроокно машина полностью беззащитна перед подменой пакетов — она может быть скомпрометирована ещё до того, как успеет установить сам патч безопасности. Особенно сильно эта проблема бьет по:
- автомасштабируемым облачным кластерам (auto-scaling).
- контейнерам и пайплайнам CI/CD, где ОС постоянно ставится с нуля.
- закрытым корпоративным сетям (air-gapped) с локальными зеркалами.
Чего требует сообщество?
Суть общественной инициативы проста: Canonical должна признать, что цепочка поставок нарушена, заморозить текущие пакетные базы Jammy и Noble, «вшить» исправленный APT (версий 2.4.15ubuntu0.1 и 2.8.4ubuntu0.1) непосредственно в базовые дистрибутивы и перевыпустить официальные установочные медиа как 22.04.6 и 24.04.6.
Пока что Canonical и её команда релиза (Release Team) не дали официального ответа на этот призыв. Пойдёт ли корпорация навстречу сообществу ради безопасности сотен тысяч новых серверов — покажет время.
>>> Подробности
