Linux包管理器apt中发现远程代码执行漏洞

近日，安全专家在几个Linux发行版（包括Debian和Ubuntu）都在使用的包管理器apt中发现了一个远程代码执行漏洞。

该漏洞编号为CVE-2019-3462，影响范围极广，所有使用老版本apt的主机都会受到影响，尤其是将apt作为默认包管理器的Ubuntu，从14.04 LTS 到最新的18.10版本均受到此漏洞影响。

利用此漏洞，攻击者可以通过中间人劫持等手法劫持HTTP流量，并通过重定向及相关响应头的构造绕过apt本地签名的判断执行任意代码/命令，甚至可能得到目标服务器的root权限。

包管理器apt是个广泛使用的程序，用于处理软件的安装、更新和删除等行为。而此次漏洞产生的原因是apt中默认使用HTTP进行通信，而其transport方法中处理HTTP 重定向的代码未能正确审查传输的字段。攻击者通过中间人攻击劫持后，使用伪造签名骗过该检查，即可在用户主机上安装攻击者安排的任意程序，并因为apt 已经获取root 权限，该恶意程序可在root 权限下执行。

目前，该漏洞已被解决。用户可通过将apt升级至最新版本（1.4.9版本）来修复它，如果您担心在更新过程中被利用，可以通过在更新时禁用HTTP重定向来防护。

两个使用apt 最多的Linux 发行版Ubuntu 和Debian 也都发布了安全公告，督促用户赶快升级。