Критический

Опубликована

CVE-2026-11386

ubuntu-pro-client Input Validation Vulnerability Leading to Arbitrary APT Directive Injection and Remote Code Execution

Публикация: 16.07.2026·Обновлена: 16.07.2026, 16:31·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

An input validation and injection vulnerability exists in Canonical ubuntu-pro-client (formerly ubuntu-advantage-tools). The client constructs APT source files (such as /etc/apt/sources.list.d/ubuntu-.list or their DEB822 equivalents) using data received directly from the contract server response via the directives.suites[] and directives.aptURL fields. Because the client utilizes Python's str.format() to write these files without performing escaping, validation, or newline character filtering, a malicious or tampered contract response containing embedded newline (\n) characters can successfully inject arbitrary, attacker-controlled deb configuration lines into root-owned APT sources. When combined with the unvalidated additionalPackages[] field—which is passed positionally into a root-executed apt-get install command—an attacker capable of spoofing or manipulating the contract response (e.g., via a compromised internal infrastructure, an intercepted connection utilizing a trusted CA, or local logical bugs) can force the client to fetch and install malicious packages. This ultimately leads to arbitrary code execution with root privileges on the affected system. This component is preinstalled on supported Ubuntu Server releases and auto-attaches by default on cloud provider Ubuntu Pro images.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Canonical / ubuntu-pro-client (ubuntu-advantage-tools)

{
  "status": "affected",
  "version": "0",
  "lessThan": "37.3",
  "versionType": "python"
}

Canonical / Ubuntu 26.04 LTS

{
  "status": "unaffected",
  "version": "37.2ubuntu0.1",
  "versionType": "dpkg"
}

Canonical / Ubuntu 24.04 LTS

{
  "status": "unaffected",
  "version": "37.2ubuntu~24.04.1",
  "versionType": "dpkg"
}

Canonical / Ubuntu 22.04 LTS

{
  "status": "unaffected",
  "version": "37.2ubuntu~22.04.1",
  "versionType": "dpkg"
}

Canonical / Ubuntu 20.04 LTS

{
  "status": "unaffected",
  "version": "37.1ubuntu0~20.04.1",
  "versionType": "dpkg"
}

Canonical / Ubuntu 18.04 LTS

{
  "status": "unaffected",
  "version": "37.1ubuntu0~18.04.1",
  "versionType": "dpkg"
}

Canonical / Ubuntu 16.04 LTS

{
  "status": "unaffected",
  "version": "37.1ubuntu0~16.04.1",
  "versionType": "dpkg"
}

Canonical / Ubuntu 14.04 LTS

{
  "status": "unaffected",
  "version": "19.7ubuntu0.1",
  "versionType": "dpkg"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиине нужны

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьвысокое

Классы CWE

CWE-20 · Некорректная проверка входных данных

Источники и ссылки

Материал · ubuntu.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:12:04.839419+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:01:42.395023+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:01:42.395023+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:01:42.395023+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:12:04.839419+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:01:42.395023+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:11
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены30.10.2026, 17:17
Данные обновлены29.10.2026, 11:16
Опубликована29.10.2026, 00:01

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА	Карточка
CVE-2026-9494 ubuntu-pro-client Information Disclosure via Cleartext Bearer Token Exposure in Process Command Line Canonical / ubuntu-pro-client (ubuntu-advantage-tools) · Canonical / Ubuntu 26.04 LTS	Средний	5.5	0,15 %		16.07.2026