CVE-2026-41651 — Analisi Pack2TheRoot

Escalation dei privilegi locali in PackageKit (Condizione di gara TOCTOU)
CVSS v3.1: 8.8 (ALTA) | CWE-367 | Pubblicato: 2026-04-22

📌 Panoramica

Questo repository raccoglie un rapporto di analisi personale e materiale di ricerca sulla vulnerabilità di escalation dei privilegi locali CVE-2026-41651 (Pack2TheRoot) in PackageKit, resa pubblica nell'aprile 2026.

🔍 Riepilogo della vulnerabilità

Tre bug in pk-transaction.c di PackageKit agiscono in combinazione, consentendo a un utente locale non privilegiato di ottenere privilegi root.

Catena di bug

Bug 1: sovrascrittura incondizionata di cached_transaction_flags alla chiamata di InstallFiles() (Riga 4036)
  ↓
Bug 2: in caso di rifiuto della transizione di stato, i flag corrotti restano in memoria senza rollback (Riga 876~881)
  ↓
Bug 3: lettura dei flag corrotti al momento dell'esecuzione di pk_transaction_run() (Riga 2273~2277)
  ↓
Risultato: bypass dell'autenticazione polkit → installazione di pacchetti arbitrari come root → creazione di una bash SUID

Flusso dell'attacco

1. Invio asincrono di InstallFiles(SIMULATE=0x4, dummy) → bypass dell'autenticazione polkit
2. Invio immediato di InstallFiles(NONE=0x0, payload) → corruzione dei flag (TOCTOU)
3. Al momento della ricezione di NOT_AUTHORIZED da polkit, il pacchetto è già stato installato
4. Creazione di /tmp/.suid_bash → ottenimento di euid=0(root)

🖥️ Ambiente di analisi

📂 Struttura dei file

CVE-2026-41651-analysis/
├── README.md
└── CVE-2026-41651_rapporto_analisi.docx   # Rapporto di analisi dettagliato

📋 Indicatori di compromissione (IoC)

Durante un tentativo di attacco, i seguenti pattern di log vengono registrati sul sistema.

# Comandi di rilevamento
journalctl -u packagekit | grep -i "assertion\|emitted\|failed"

PackageKit[PID]: pk_backend_job_emit: assertion 'PK_IS_BACKEND_JOB(job)' failed
PackageKit[PID]: g_signal_emit_valist: assertion 'G_TYPE_CHECK_INSTANCE(instance)' failed
PackageKit[PID]: GLib-Object:CRITICAL: g_object_unref: assertion 'G_IS_OBJECT(object)' failed
PackageKit[PID]: backend job failed
PackageKit[PID]: emit transaction failed
PackageKit[PID]: daemon stop    ← crash
PackageKit[PID]: daemon start   ← riavvio automatico

# Rilevamento file SUID
find /tmp -perm -4000 -type f 2>/dev/null
# → se /tmp/.suid_bash è presente, è necessaria una risposta immediata

🛡️ Misure di mitigazione

Applicazione della patch (consigliata)

# Ubuntu / Debian
sudo apt update && sudo apt upgrade packagekit

# RHEL / Fedora
sudo dnf update PackageKit

Verifica della vulnerabilità

# Controllo versione (vulnerabile se ≤ 1.3.4)
dpkg -l | grep -i packagekit          # Debian/Ubuntu
rpm -qa | grep -i PackageKit          # RHEL/Fedora

# Controllo stato del demone
systemctl status packagekit

Mitigazione temporanea (prima della patch)

# Disattivazione di PackageKit
sudo systemctl disable --now packagekit

⚠️ La disattivazione rende inutilizzabili gli strumenti GUI di gestione pacchetti come GNOME Software

📅 Cronologia

🔗 Riferimenti

• Pagina ufficiale CVE
• GitHub Security Advisory
• Advisory originale Deutsche Telekom
• Dettagli NVD
• Commit della patch (76cfb675)
• Repository PoC (Vozec)

⚠️ Disclaimer

Questo repository è stato creato a scopo di ricerca e apprendimento sulla sicurezza.
Lo sfruttamento di vulnerabilità e l'accesso non autorizzato ai sistemi possono comportare sanzioni penali; tutti i test sono stati eseguiti in ambienti isolati di propria proprietà.