Un fallo de seguridad detectado en APT, el gestor de paquetes que usan Debian y Ubuntu, permite ejecutar código con privilegios de root en los equipos afectados, como indican los informes publicados con fecha de 4 de noviembre por parte de Debian y Ubuntu. El problema compromete la herramienta que ambas distribuciones emplean a diario para instalar y actualizar software, por lo que el riesgo se extiende a servidores, equipos de escritorio y cualquier sistema derivado que dependa de APT para gestionar sus paquetes.
La vulnerabilidad se ha dado a conocer esta semana y afecta directamente a la forma en que APT instala y gestiona los paquetes de software en los sistemas donde está presente. Al ejecutarse con privilegios de root, cualquier fallo que permita manipular ese proceso da a quien lo explote el control total del equipo afectado.
Por qué resulta tan grave un fallo de este tipo en APT
APT no es un programa cualquiera: es el núcleo de la gestión de software en Debian, Ubuntu y en las distribuciones que se construyen sobre ellas. Cada vez que el sistema instala, actualiza o elimina un paquete, lo hace a través de APT, y ese proceso se ejecuta con privilegios de root, los más altos que existen en un sistema Linux.
Un fallo que permita ejecutar código arbitrario durante ese proceso no se limita a una aplicación aislada: da al atacante el control total del equipo, porque hereda los mismos privilegios con los que corre el propio gestor de paquetes. Es el motivo por el que cualquier vulnerabilidad de este tipo en una herramienta tan extendida se trata como una prioridad máxima en cuanto se detecta.
Los sistemas basados en Debian y Ubuntu están presentes en servidores de producción, equipos de escritorio y dispositivos embebidos, lo que multiplica el número de instalaciones que podrían verse afectadas antes de que se aclare el alcance exacto del problema.
A qué sistemas afecta
APT es el gestor de paquetes por defecto en Debian y en Ubuntu, y también lo heredan las distribuciones que se construyen sobre ellas. Cualquier equipo que dependa de esta herramienta para instalar o actualizar software comparte el mismo código afectado por el fallo, al margen de la versión concreta de la distribución que tenga instalada.
Mientras no se publique un boletín específico, cualquier equipo con Debian o Ubuntu que use APT para actualizar paquetes de forma automática, como suele ocurrir en servidores y canalizaciones de despliegue continuo, debería revisar sus procesos habituales hasta que su distribución confirme una corrección verificada.
