CVE-2026-41651

Resumo

PackageKit é uma camada de abstração D-Bus que permite ao usuário gerenciar pacotes de forma segura usando uma API multiplataforma e multi-distribuição. O PackageKit, entre as versões 1.0.2 e 1.3.4 inclusive, é vulnerável a uma condição de corrida time-of-check time-of-use (TOCTOU) nos flags de transação que permite que usuários sem privilégios instalem pacotes como root e, assim, leve a uma escalada local de privilégios. Isso é corrigido na versão 1.3.5. Um usuário local sem privilégios pode instalar pacotes RPM arbitrários como root, incluindo a execução de scriptlets RPM, sem autenticação. A vulnerabilidade é uma condição de corrida TOCTOU em `transaction->cached_transaction_flags` combinada com uma proteção silenciosa de máquina de estados que descarta transições de estado ilegais para trás, deixando flags corrompidos no lugar. Existem três bugs em `src/pk-transaction.c`: 1. Sobrescrita incondicional de flags (linha 4036): `InstallFiles()` grava flags fornecidos pelo chamador em `transaction->cached_transaction_flags` sem verificar se a transação já foi autorizada/iniciada. Uma segunda chamada sobrescreve cegamente os flags mesmo enquanto a transação está em RUNNING. 2. Rejeição silenciosa de transição de estado (linhas 873–882): `pk_transaction_set_state()` descarta silenciosamente transições de estado para trás (ex.: `RUNNING` → `WAITING_FOR_AUTH`), mas a sobrescrita de flags na etapa 1 já ocorreu. A transação continua em execução com flags corrompidos. 3. Leitura tardia de flags no momento da execução (linhas 2273–2277): o callback de idle do agendador lê cached_transaction_flags no momento do despacho, não no momento da autorização. Se os flags forem sobrescritos entre a autorização e a execução, o backend vê os flags do atacante.

• CVE-2026-41651Informativo

  CVE-2026-41651