חולשה ב-APT, מנהל החבילות של Debian ו-Ubuntu, מאפשרת לתוקף שמסוגל לשנות את הורדות החבילות להחליף חבילה שכבר עברה בדיקה בחבילה משלו. הקוד של התוקף רץ אז בהרשאות root. לפי The Hacker News, ההתקפה דורשת ש-APT ינסה שוב הורדות שנכשלו, וזו ברירת המחדל מ-Debian 12 ומ-Ubuntu 22.04 ואילך.
התוקף יכול להיות כל מי ששולט בתעבורת ה-HTTP בין APT לשרת, כולל שרת מראה או פרוקסי זדוני. הוא משתמש בהפניות HTTP ובשגיאות שרת זמניות כדי לגרום ל-APT לנסות שוב. מפתחי APT מגדירים את החולשה כקריטית; Ubuntu מדרגת אותה בעדיפות גבוהה, עם ציון CVSS 4.0 של 7.7.
Debian פרסמה גרסאות מתוקנות, ו-Ubuntu העלתה ב-4 בנובמבר גרסאות חדשות לארבע מהגרסאות שלה, מ-22.04 LTS עד 26.10. גרסאות ישנות יותר, כמו Debian 11 ו-Ubuntu 20.04, אינן חשופות כברירת מחדל, אבל לפי מפתחי APT סקריפטים רבים מפעילים בהן את הגדרת הניסיון החוזר בכל זאת.
לא דווח על ניצול בפועל, ואין דרך עקיפה למי שעוד לא יכול לעדכן. ההודעות לא מבהירות אם מקורות חבילות שמגיעים דרך HTTPS חשופים גם הם. ההמלצה היא לעדכן את APT מיד.