In PackageKit, einer D-Bus-Schicht zur Vereinheitlichung von Paketverwaltungsoperationen, wurde die Schwachstelle Pack2TheRoot (CVE-2026-41651) entdeckt, die es einem nicht privilegierten Benutzer ermöglicht, beliebige Pakete zu installieren oder zu entfernen und Root-Zugriff auf das System zu erlangen. Das Problem tritt seit Version 1.0.2 (2014) auf und wurde in PackageKit 1.3.5 behoben.
Die Problematik wurde von Forschern der Deutschen Telekom mit Hilfe des KI-Modells Claude Opus aufgedeckt. Ein funktionierender Exploit wurde entwickelt, der in den meisten Distributionen mit PackageKit funktioniert, doch die detaillierten Informationen über die Schwachstelle sowie der Exploit selbst sollen zu einem späteren Zeitpunkt veröffentlicht werden, um den Nutzern Zeit zu geben, ihre Systeme zu aktualisieren. Die Ausnutzbarkeit der Schwachstelle wurde in Ubuntu Desktop 18.04/24.04.4/26.04, Ubuntu Server 22.04 – 24.04, Debian Desktop 13.4, RockyLinux Desktop 10.1 und Fedora 43 Desktop/Server demonstriert. Der Status der Behebung der Schwachstellen in den Distributionen kann auf diesen Seiten eingesehen werden (wenn die Seite nicht erreichbar ist, haben die Entwickler der Distribution noch nicht mit der Bearbeitung des Problems begonnen): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Die Schwachstelle ergibt sich aus einem Wettlaufszenario bei der Verarbeitung von Transaktionsflags im Hintergrundprozess PackageKit, der es ermöglicht, die Parameter einer Operation zwischen der Autorisierung und dem Start der Paketoperation zu ändern. Ein Angreifer kann eine D-Bus-Anfrage senden, um eine für einen nicht privilegierten Benutzer zulässige Operation auszuführen, und danach eine weitere D-Bus-Anfrage senden. Wenn die wiederholte Anfrage vor dem tatsächlichen Beginn der genehmigten Operation eintrifft, können die Flags der bereits gestarteten Transaktion überschrieben und der zwischengespeicherte Zustand geändert werden.
Daher wird die bereits gestartete genehmigte Transaktion mit modifizierten, nicht ursprünglichen Parametern ausgeführt, die im zweiten Anfrage übermittelt wurden. Durch das Ändern der Informationen zum zu installierenden Paket kann anstelle des genehmigten Pakets jedes andere Paket, einschließlich lokal gespeicherter Pakete des Angreifers, installiert werden. Die Paketinstallation erfolgt mit Root-Rechten, sodass der Angreifer zur Erlangung von Root-Zugriff im System ein eigenes Scriptlet in das Paket einfügen kann, das automatisch vor oder nach der Installation ausgeführt wird.
Quelle: opennet.ru
