Mit einem Update auf Debian 9.7 reagieren die Entwickler der Linux-Distribution außer der Reihe ihrer Release-Zyklen auf eine Sicherheitslücke in Apt, die sich von Angreifern remote ausnutzen lässt.
Die von Max Justicz am 22. Januar gemeldete Sicherheitslücke DSA-4371-1 ermöglicht es über eine Schwachstelle im für die HTTPS-Redirects zuständigen Code eine Man-in-the-middle-Attacke auszuführen. Der Angreifer kann sich dabei zwischen Apt und einem Spiegelserver einnisten um Schadcode in die HTTP-Verbindung einzuschleusen. Dieser Code wird von Apt dann als reguläres Paket angesehen und kann mit Root-Rechten ausgeführt werden.
Die Debian-Entwickler empfehlen, Redirects abzuschalten um das Upgrade einzuspielen. Im Advisory ist die Vorgehensweise beschrieben. In der Ankündigung zu Debian 9.7 sind weitere Details genannt.





