V PackageKit, vrstve D-Bus, ktorá zjednocuje operácie správy balíkov, bola objavená zraniteľnosť s názvom Pack2TheRoot (CVE-2026-41651). Táto zraniteľnosť umožňuje neprivilegovanému používateľovi inštalovať alebo odstraňovať ľubovoľné balíky a získať root prístup k systému. Problém existuje od verzie 1.0.2 (2014) a bol opravený v PackageKit 1.3.5.
Problém identifikovali výskumníci zo spoločnosti Deutsche Telekom pomocou modelu umelej inteligencie Claude Opus. Bol vyvinutý funkčný exploit, ktorý funguje na väčšine distribúcií PackageKit, ale jeho zverejnenie spolu s podrobnými informáciami o zraniteľnosti sa plánuje neskôr, aby používatelia mali čas na aktualizáciu svojich systémov. Zneužiteľnosť zraniteľnosti bola preukázaná v... Ubuntu Stolný počítač 18.04/24.04.4/26.04, Ubuntu Server 22.04 — 24.04, Debian Počítač 13.4, RockyLinux Desktop 10.1 a Fedora 43 Desktop/Server. Stav opráv zraniteľností v týchto distribúciách je možné posúdiť na týchto stránkach (ak stránka nie je dostupná, vývojári distribúcie ešte nezačali problém skúmať): Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch, Fedora, FreeBSD.
Zraniteľnosť je spôsobená súbehom pri spracovaní transakčných príznakov v procese PackageKit na pozadí, čo umožňuje falšovanie operačných parametrov medzi autorizáciou a začiatkom operácie s balíkom. Útočník môže odoslať požiadavku D-Bus na vykonanie operácie povolenej pre neprivilegovaného používateľa a potom odoslať opakovanú požiadavku D-Bus. Ak opakovaná požiadavka príde pred skutočným začiatkom autorizovanej operácie, je možné prepísať príznaky už spustenej transakcie a upraviť stav vyrovnávacej pamäte.
Už iniciovaná autorizovaná transakcia sa teda vykoná nie s pôvodnými parametrami, ale s nahradenými parametrami odovzdanými v druhej požiadavke. Falšovaním informácií o inštalovanom balíku je možné namiesto autorizovaného nainštalovať akýkoľvek iný balík vrátane balíka uloženého lokálne útočníkom. Inštalácia balíka sa vykonáva s oprávneniami root, takže na získanie root prístupu k systému môže útočník do balíka pridať vlastný skriptlet, ktorý sa automaticky vykoná pred alebo po inštalácii.
Zdroj: opennet.ru
