# Laboratório Docker estilo CTF para CVE-2026-41651 (Pack2TheRoot): escalonamento local de privilégios via PackageKit permissive-polkit

Além disso:

• Um briefing do desafio voltado ao jogador (docs/CHALLENGE.md)
• Dicas progressivas (docs/HINTS.md)
• Solução completa e flag (docs/SOLUTION.md)
• Diagramas visuais do fluxo do exploit (docs/diagrams/)
• Ferramentas para defensores: verificação de versão, monitor de IOC, comparação lado a lado, script de mitigação provisória do polkit.

2. Resumo da vulnerabilidade

Causa raiz — três bugs encadeados em pk-transaction.c

O exploit envia duas chamadas assíncronas InstallFiles() via D-Bus na mesma transação: primeiro com SIMULATE (ignora o polkit, enfileira um callback idle do GLib), e imediatamente depois com NONE + o pacote malicioso (sobrescreve as flags/caminhos em cache antes do idle disparar). A ordenação por prioridade do GLib garante que ambas as mensagens D-Bus sejam despachadas antes do callback idle — tornando isso determinístico, não uma corrida de tempo.

IOC conhecido (do advisory):

3. Início rápido

Desafio CTF (caminho do polkit permissivo)

A flag está em /root/flag.txt (modo 0400 root:root). Formato: PACK2THEROOT{...}

Reprodução do exploit TOCTOU (causa raiz real do CVE)

O exploit compila dois pacotes .deb em C (sem necessidade de ferramentas externas), envia a corrida D-Bus de duas chamadas e cria um bash SUID em /tmp/.suid_bash. Consulte docs/SOLUTION.md para a solução técnica completa.

Encerrar:

4. Estrutura do repositório

5. Diagramas visuais

O diretório docs/diagrams/ contém diagramas SVG mostrando o fluxo do exploit. Abra-os em qualquer navegador:

6. Jogando o desafio CTF

Consulte docs/CHALLENGE.md. Resumo:

1. Acesse via SSH como labuser (senha labuser).
2. Faça recon das regras do polkit. Uma delas é permissiva demais.
3. Compile um RPM malicioso (rpm-build, rpmdevtools estão instalados).
4. Instale-o com pkcon install-local --allow-untrusted.
5. O scriptlet %post é executado como root. Leia /root/flag.txt.

Travou? docs/HINTS.md tem dicas cada vez mais explícitas. Só abra docs/SOLUTION.md depois de ter resolvido ou realmente precisar do write-up.

7. Executando as ferramentas do defensor

Dentro de qualquer contêiner, como qualquer usuário:

A partir do host, lado a lado:

Aplique a mitigação provisória do polkit a um contêiner vulnerável:

8. Imagem corrigida — status do backport

A imagem patched trata o status da versão do PackageKit com honestidade:

• Ela instala o PackageKit que a distribuição atualmente fornece.
• Ela exibe um banner claro (/etc/pack2theroot-banner) informando se a versão instalada é a correção real ou um placeholder da distribuição.
• Independentemente da versão, ela inclui uma regra polkit endurecida que bloqueia o caminho de instalação sem autenticação.

Para compilar uma imagem corrigida com versão completa quando sua distribuição publicar o backport, coloque o(s) RPM(s) em patched/local/ e recompile:

9. Segurança e uso responsável

• Não disponibilize nenhuma das imagens de contêiner em um host Docker compartilhado com usuários não confiáveis.
• O contêiner do exploit requer --privileged para executar a pilha completa dbus/polkitd/packagekitd. Execute-o apenas em ambientes isolados.
• A senha SSH (labuser) é intencionalmente fraca. Nunca a reutilize.
• Apenas para pesquisa defensiva autorizada, educação e testes de penetração.

10. Referências

Fontes primárias:

• Advisory da Telekom Security — https://github.security.telekom.com/2026/04/pack2theroot-linux-local-privilege-escalation.html
• NVD — CVE-2026-41651: https://nvd.nist.gov/vuln/detail/CVE-2026-41651
• Correção upstream — PackageKit 1.3.5: https://github.com/PackageKit/PackageKit/releases/tag/v1.3.5
• Commit da correção — 76cfb675: https://github.com/PackageKit/PackageKit/commit/76cfb675fb31acc3ad5595d4380bfff56d2a8697
• PoC público — Vozec: https://github.com/Vozec/CVE-2026-41651

Consulte docs/references.md para cobertura secundária e rastreadores de distribuição.

11. Licença

MIT — consulte LICENSE.