話題
2026年11月4日
Debianの「apt」に中間者攻撃で任意コード実行の脆弱性
Debianのパッケージ管理ツール「apt」に、中間者攻撃(MITM)によって任意のコードを実行されうる脆弱性が見つかり、セキュリティアドバイザリが公開された。これがHacker Newsで取り上げられ、議論になったのは主に二点。ひとつは、aptが長年HTTPS化されたHTTPではなく、GPG署名だけで安全性を担保する設計を続けてきたことの是非。もうひとつは、今回の脆弱性が署名検証を通過した後にファイルを上書きされるという、検証タイミングの穴を突くものだという推測だ。あわせて、Debian公式のアドバイザリが具体的な対処手順を示していないことへの不満も相次いだ。
Debian aptセキュリティアップデート: man-in-the-middleによる任意コード実行の脆弱性
出典: lists.debian.org / 元記事はこちら
5
海外の名無しさん
2026-11-04 14:07
全く驚かない。HNでも『全部PGPで署名されているんだからHTTPSなんて要らない』という過激な議論を何度も見てきた。内部構造を全部MITMに晒していると、それがいかに危険かが示され続けている。この一件で、せめてこの無意味な議論に終止符が打たれるといいんだが。
6
海外の名無しさん
2026-11-04 13:26
昔から不思議に思っていたし、ずっと言い続けているんだが、パッケージリポジトリがなぜHTTPSを使わないのか理解できない。
17
海外の名無しさん
2026-11-04 14:08
>>6 10年か20年前に下した決定の惰性じゃないかな。『何でもHTTPS経由にすべき』と決まる前の話だし。
18
海外の名無しさん
2026-11-04 13:48
>>6 キャッシュ用プロキシを経路上に置きやすくするためじゃない?
20
海外の名無しさん
2026-11-04 13:30
>>6 理論上のモデルでは転送方式は関係ないはず。もちろん、実装が署名チェックのタイミングを間違えればその前提は崩れるけど。
7
海外の名無しさん
2026-11-04 13:05
『aptパッケージの更新を推奨します』って、同じ壊れた道具でしか直せない壊れた道具を指すドイツ語ってあるのかな。
22
海外の名無しさん
2026-11-04 13:17
>>7 『Selbstreparaturparadoxon(自己修理のパラドックス)』という言葉はあるけど誰も使わない。これはむしろミュンヒハウゼン男爵が自分の髪を引っ張って沼から自分を引き上げる『ミュンヒハウゼン問題』に近い。
23
海外の名無しさん
2026-11-04 13:28
>>7 ちなみにaptには無効化できる『Acquire::http::AllowRedirect』というオプションがある。
24
海外の名無しさん
2026-11-04 13:14
>>7 『Münchhausenwerkzeug(ミュンヒハウゼンの道具)』だな。
8
海外の名無しさん
2026-11-04 13:30
aptパッケージを安全に更新する方法について、もう少しガイダンスを出すくらいのことができなかったのか。必要なら帯域外でダウンロードして検証する手順とか、あるいは脆弱なHTTPダウンロード再開処理を無効にするパラメータを古いaptに渡す方法とか。
25
海外の名無しさん
2026-11-04 13:34
>>8 HTTPS使えばいいんじゃない?
9
海外の名無しさん
2026-11-04 13:49
理解が正しければ、trixie-securityには修正版が入っているけど、bookwormにはまだ入っていない?oldstableでも修正される?
26
海外の名無しさん
2026-11-04 13:50
>>9 セキュリティトラッカーを見ると、bookworm-securityにはもう修正が入っているよ。
10
海外の名無しさん
2026-11-04 12:56
うわ、そのaptの脆弱性はかなりヤバいな。最近見つかる脆弱性の多くは実際に悪用される可能性が低そうなものが多い印象だけど、これはそれなりに現実的に見える?ミラーを乗っ取ってリダイレクトさせる、みたいな攻撃を想定しているのかな?
27
海外の名無しさん
2026-11-04 13:21
>>10 むしろ単純なman-in-the-middle攻撃の方があり得る。aptは基本的にTLS無しのHTTPを使っていて、署名でセキュリティを担保している。でも今回の脆弱性は、署名チェックに成功した後に、何らかのHTTPのトリックで正規のファイルを攻撃者が上書きできてしまう、というものらしい。
11
海外の名無しさん
2026-11-04 13:30
気になるんだけど、パッケージが完全にディスクに書き込まれた後に検証が走らないのはなぜなんだ?
12
海外の名無しさん
2026-11-04 13:15
やった、自分のPCやコンテナは脆弱じゃない(^-^)
13
海外の名無しさん
2026-11-04 13:13
Debianは本当に道化師集団だよ。SSLの大失態、HTTP経由のapt、過剰パッチ、AI導入を許可したこと、lintianのくだらない理由でパッケージを外したこと。aptが乗っ取られた状態でどうやって更新するつもりなんだ?
31
海外の名無しさん
2026-11-04 13:48
>>13 その短い不満リストを並べるのに20年以上遡らなきゃいけなかった、ってことだけは指摘しておく。
32
海外の名無しさん
2026-11-04 13:32
>>13 好きなHTTPクライアントでパッケージをダウンロードして、`sudo dpkg –verify -i`でインストールすればいい。
33
海外の名無しさん
2026-11-04 13:31
>>13 多くのミラーはHTTPSでも利用できるから、それに切り替えればいいだけだよ。
14
海外の名無しさん
2026-11-04 14:06
>>3 HTTPSでキャッシュする方法はどうやるんだ?
34
海外の名無しさん
2026-11-04 14:12
>>14 本当にキャッシュに値する規模なら、自前のHTTPSミラーを立てればいい。制御できるエンドポイントがないなら、そもそもMITMする資格がない。
35
海外の名無しさん
2026-11-04 14:15
>>14 キャッシュサーバーに証明書を持たせればいいんじゃない?
36
海外の名無しさん
2026-11-04 14:09
>>14 SSLバンピング(中間での復号・再暗号化)だな。
15
海外の名無しさん
2026-11-04 13:22
>>4 『TLSは要らない、aptパッケージは署名されてるから』という連中が言いたがることとは裏腹に、大抵はHTTPS対応のパッケージミラーを指定できる。これにはMITMがインストールしているパッケージを知ったり、特定のパッケージをブロックしたりできなくなるという利点もある。
37
海外の名無しさん
2026-11-04 13:33
>>15 まあ認証局自体がまともな鍵を使ってない状況だと、その話もそれほど意味がなくなるけどね。
38
海外の名無しさん
2026-11-04 13:25
>>15 どのミラーも、HTTPDのログでそれを知ることができるよ。
16
海外の名無しさん
2026-11-04 13:05
>>4 ハッシュや署名みたいな仕組みがあると思ってたんだけど、それも本体のペイロードと一緒に偽造できてしまうってこと?
39
海外の名無しさん
2026-11-04 13:13
>>16 アドバイザリの短い説明を見ると、攻撃者は署名検証が終わった後にファイルを上書きできるようだね。
19
海外の名無しさん
2026-11-04 13:52
>>6 デフォルトではないけど、apt-transport-httpsをインストールして、ミラーがHTTPSに対応していればアップデートURLをHTTPSに変えるだけでいい。
21
海外の名無しさん
2026-11-04 13:30
>>6 ある程度までは理解できる、ニワトリと卵の状況になることもあるから。でも、もっと良い方法があるはずだ。
41
海外の名無しさん
2026-11-04 14:07
>>18 今の時代にそんなことしてる人、実際いるの?
42
海外の名無しさん
2026-11-04 13:46
>>20 転送そのものを業界標準通りにデフォルトでTLS保護していれば避けられたはずの脆弱性が、実装面でこれまでにいくつもあった。
43
海外の名無しさん
2026-11-04 14:10
>>23 『Acquire::http::AllowRedirect』?そのドイツ語、聞いたことないな。
44
海外の名無しさん
2026-11-04 13:38
>>25 それでもダウンロードサーバーを信頼することになるから、そこが狙われやすい標的になる。でも確かに、告知でHTTPSについて一言でも触れて、せめて半分くらいは仕事したと言えるようにしてほしかった。『うまく悪用されないように頑張って』の一言でも、何も言わないよりはマシだった。
45
海外の名無しさん
2026-11-04 13:39
>>27 まあ、Debianだから、HTTPSを使っていてもどうせ脆弱だっただろうけどね!aptについてそれは知らなかった、面白い選択だ。
47
海外の名無しさん
2026-11-04 14:09
>>33 基本的に全部そうだよ。大きめのミラーサーバーは複数のディストリビューションをホストしていて、最近はデフォルトでHTTPS必須のところも多い。
48
海外の名無しさん
2026-11-04 13:53
>>38 GPに公平を期すなら、それは『ミドル(中間)』ではないよ。ミラーはあなたの通信の最終目的地なんだから。
この話題の背景と論点
aptは長年、HTTPS化された通信ではなく、無暗号のHTTPとGPG署名によるパッケージ検証を安全性の根拠としてきた。これはミラーサーバーが多数・分散している歴史的事情や、TLSが一般化する前からの設計が引き継がれてきたことによる。今回話題になった脆弱性は、その署名検証そのものを破るものではなく、検証を通過した後にファイルが別物へ上書きされてしまう、タイミングの穴を突くものだとスレッドでは推測されている。議論が分かれたのは、「署名があれば暗号化は理論上不要」という従来の立場と、「HTTPSにしておけば検証タイミングの不備自体が無意味になる」という実務的な立場の対立だ。多くのミラーはHTTPS接続にも対応しているため、個人でできる対策として設定変更を勧める声も目立った。一方でDebian公式のアドバイザリが具体的な更新手順を示していない点への不満も多く、脆弱性そのものより運用対応への批判が広がった側面がある。
※本記事は海外掲示板 Hacker News のスレッド「Debian apt security update: man-in-the-middle arbitrary code execution」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
この記事のリアクション
まだコメントはありません。