「APT 3.3.6」リリース ─ パッケージ検証を回避できる重大な脆弱性を修正

　APT開発チームは11月4日(現地時間)、パッケージ管理システム「APT 3.3.6」をリリースした。

　「APT 3.3.6」は、Debian testing／unstable向けの開発系列3.3系列のアップデートリリース。通信経路上の攻撃者などがパッケージの検証を回避し、未検証のパッケージをインストールさせる可能性がある脆弱性「CVE-2026-109518」が修正された。このほか、パッケージ解析や依存関係ソルバーの範囲外アクセスにつながる問題にも対応している。

　「APT 3.3.6」のハイライトは次の通り。
〇ダウンロードしたパッケージの検証を回避できる脆弱性を修正（CVE-2026-109518）
〇ダウンロード先のファイルを排他的に開き、既存のハードリンクを上書きしないように変更
〇Versionフィールドを持たないdebパッケージを拒否するように変更
〇依存関係ソルバーの比較処理が未定義動作やクラッシュを引き起こす問題を修正
〇多重化されたハードウェアパフォーマンスカウンターの値を補正
〇パフォーマンス測定用ファイルディスクリプターへCLOEXECを設定
〇Debianバージョン比較のプロパティベーステストを追加
〇タグファイル解析、文字列処理、ソルバーに関する単体テストを追加
〇ウクライナ語翻訳を更新
など。

　Debian 13「trixie」ではAPT 3.0.4、Debian 12「bookworm」ではAPT 2.6.2が修正版として公開された。Debian testing「forky」とunstable「sid」ではAPT 3.3.6が修正版となる。Ubuntuなどの派生ディストリビューションでも、それぞれの配布元が提供するセキュリティ更新を適用する必要がある。

(川原 龍人/びぎねっと)

[関連リンク]
APT 3.3.6
APTセキュリティ更新情報