每天听简报，了解最新科技、AI、软件资讯
Debian 官方紧急发布了包管理器 APT 的安全更新，修复了一个允许中间人攻击者在签名校验后替换安装包、直接获取 Root 权限的严重漏洞。漏洞根源在于 APT 处理重定向与断点续传时的逻辑缺陷，当两个软件包在重定向后指向相同地址时，中间人能在签名验证完成之后替换掉安装包，趁更新时悄悄执行恶意代码。长期以来很多服务器默认用明文 HTTP 镜像，以为靠 PGP 签名就能高枕无忧，这次漏洞恰恰击穿了这种假设。评论区不少开发者调侃，这相当于用坏掉的工具去修自己，建议大家立刻换用 HTTPS 镜像源，或者手动下载最新补丁完成升级。
进度保存在本设备 · 登录同步