報告されたのはAPTパッケージのダウンロード・再試行・リダイレクト処理に関する問題である。HTTPリダイレクトでURIが同一視された場合、APTが2つのダウンロードをマージし、検証後に別のファイルへ差し替えうる。Canonicalはハードリンク処理の不適切さが原因と説明している。
Debianはtrixie向けにAPT 3.0.4（DSA-6607-1）、Ubuntuは14.04〜26.10向けにUSN-8996-1を公開。Ubuntu 22.04では2.4.15ubuntu0.1、24.04では2.8.4ubuntu0.1、26.04では3.2.1ubuntu0.1、26.10では3.3.3ubuntu0.1が修正版となる。Debian 12以降でリトライ既定値が3になったことが露出を広げている。
悪用にはHTTP帯域の制御（悪意あるアーカイブミラーやプロキシ）が必要だが、オンパス攻撃者の条件は現実的である。運用側は標準アップデートの即時適用と、リトライ設定の棚卸し、ミラーやプロキシの信頼性確認を並行して進めるべきである。