CVE-2026-41651

Resumen

PackageKit es una capa de abstracción de D-Bus que permite al usuario gestionar paquetes de forma segura mediante una API multiplataforma y multiarquitectura. PackageKit, entre las versiones 1.0.2 y 1.3.4 inclusive, es vulnerable a una condición de carrera de tiempo de comprobación frente a tiempo de uso (TOCTOU) en los indicadores de transacción que permite a usuarios sin privilegios instalar paquetes como root y, por tanto, conduce a una escalada de privilegios local. Esto está corregido en la versión 1.3.5. Un usuario local sin privilegios puede instalar paquetes RPM arbitrarios como root, incluida la ejecución de scriptlets de RPM, sin autenticación. La vulnerabilidad es una condición de carrera TOCTOU en `transaction->cached_transaction_flags` combinada con un guardián silencioso de la máquina de estados que descarta transiciones hacia atrás ilegales mientras deja los indicadores corruptos en su lugar. Existen tres errores en `src/pk-transaction.c`: 1. Sobrescritura incondicional de indicadores (línea 4036): `InstallFiles()` escribe los indicadores proporcionados por el llamante en `transaction->cached_transaction_flags` sin comprobar si la transacción ya ha sido autorizada/iniciada. Una segunda llamada sobrescribe ciegamente los indicadores incluso mientras la transacción está en estado RUNNING. 2. Rechazo silencioso de transición de estado (líneas 873–882): `pk_transaction_set_state()` descarta silenciosamente las transiciones de estado hacia atrás (p. ej. `RUNNING` → `WAITING_FOR_AUTH`), pero la sobrescritura de indicadores del paso 1 ya se ha producido. La transacción continúa ejecutándose con indicadores corruptos. 3. Lectura tardía de indicadores en el momento de la ejecución (líneas 2273–2277): la devolución de llamada inactiva del planificador lee cached_transaction_flags en el momento del despacho, no en el de la autorización. Si los indicadores se sobrescriben entre la autorización y la ejecución, el backend ve los indicadores del atacante.

• CVE-2026-41651Informativo