CVE-2026-41651 — Análisis de Pack2TheRoot

Escalada de privilegios local en PackageKit (Condición de carrera TOCTOU)
CVSS v3.1: 8.8 (ALTA) | CWE-367 | Publicado: 2026-04-22

📌 Resumen

Este repositorio recopila un informe de análisis personal y material de investigación sobre la vulnerabilidad de escalada de privilegios local CVE-2026-41651 (Pack2TheRoot) en PackageKit, divulgada en abril de 2026.

🔍 Resumen de la vulnerabilidad

Tres errores en pk-transaction.c de PackageKit actúan de forma combinada y permiten que un usuario local sin privilegios obtenga privilegios de root.

Cadena de errores

Bug 1: Sobrescritura incondicional de cached_transaction_flags al llamar a InstallFiles() (Línea 4036)
  ↓
Bug 2: Al rechazar la transición de estado, los flags contaminados permanecen en memoria sin revertirse (Línea 876~881)
  ↓
Bug 3: Lectura de los flags contaminados al ejecutar pk_transaction_run() (Línea 2273~2277)
  ↓
Resultado: Bypass de autenticación de polkit → instalación de paquetes arbitrarios como root → creación de bash SUID

Flujo del ataque

1. Envío asíncrono de InstallFiles(SIMULATE=0x4, dummy) → bypass de autenticación de polkit
2. Envío inmediato de InstallFiles(NONE=0x0, payload) → contaminación de flags (TOCTOU)
3. Cuando se recibe NOT_AUTHORIZED de polkit, el paquete ya está instalado
4. Creación de /tmp/.suid_bash → obtención de euid=0(root)

🖥️ Entorno de análisis

📂 Estructura de archivos

CVE-2026-41651-analysis/
├── README.md
└── CVE-2026-41651_분석보고서.docx   # Informe de análisis detallado

📋 Indicadores de compromiso (IoC)

Durante un intento de ataque, los siguientes patrones de registro quedan registrados en el sistema.

# Comando de detección
journalctl -u packagekit | grep -i "assertion\|emitted\|failed"

PackageKit[PID]: pk_backend_job_emit: assertion 'PK_IS_BACKEND_JOB(job)' failed
PackageKit[PID]: g_signal_emit_valist: assertion 'G_TYPE_CHECK_INSTANCE(instance)' failed
PackageKit[PID]: GLib-Object:CRITICAL: g_object_unref: assertion 'G_IS_OBJECT(object)' failed
PackageKit[PID]: backend job failed
PackageKit[PID]: emit transaction failed
PackageKit[PID]: daemon stop    ← Bloqueo
PackageKit[PID]: daemon start   ← Reinicio automático

# Detección de archivos SUID
find /tmp -perm -4000 -type f 2>/dev/null
# → Si existe /tmp/.suid_bash, se requiere una respuesta inmediata

🛡️ Medidas de mitigación

Aplicación del parche (recomendado)

# Ubuntu / Debian
sudo apt update && sudo apt upgrade packagekit

# RHEL / Fedora
sudo dnf update PackageKit

Verificación de vulnerabilidad

# Comprobación de versión (vulnerable si es 1.3.4 o inferior)
dpkg -l | grep -i packagekit          # Debian/Ubuntu
rpm -qa | grep -i PackageKit          # RHEL/Fedora

# Comprobación del estado del demonio
systemctl status packagekit

Mitigación temporal (antes del parche)

# Desactivar PackageKit
sudo systemctl disable --now packagekit

⚠️ Si se desactiva, las herramientas GUI de gestión de paquetes como GNOME Software dejarán de funcionar

📅 Cronología

🔗 Referencias

• Página oficial del CVE
• Aviso de seguridad de GitHub
• Advertencia original de Deutsche Telekom
• Detalles en NVD
• Commit del parche (76cfb675)
• Repositorio del PoC (Vozec)

⚠️ Descargo de responsabilidad

Este repositorio ha sido creado con fines de investigación y aprendizaje en seguridad.
La explotación de vulnerabilidades y el acceso no autorizado a sistemas pueden conllevar sanciones legales; todas las pruebas se realizaron en entornos aislados de propiedad propia.