CVE-2026-41651 — Análise Pack2TheRoot

Escalação de Privilégio Local no PackageKit (Condição de Corrida TOCTOU)
CVSS v3.1: 8.8 (ALTA) | CWE-367 | Publicado: 2026-04-22

📌 Visão Geral

Este repositório reúne um relatório de análise pessoal e materiais de pesquisa sobre a vulnerabilidade de escalação de privilégio local CVE-2026-41651 (Pack2TheRoot) no PackageKit, divulgada em abril de 2026.

🔍 Resumo da Vulnerabilidade

Três bugs em pk-transaction.c do PackageKit atuam em conjunto, permitindo que um usuário local sem privilégios obtenha acesso root.

Cadeia de bugs

Bug 1: Ao chamar InstallFiles(), cached_transaction_flags é sobrescrito incondicionalmente (Linha 4036)
  ↓
Bug 2: Ao rejeitar a transição de estado, os flags corrompidos permanecem na memória sem rollback (Linha 876~881)
  ↓
Bug 3: Ao executar pk_transaction_run(), os flags corrompidos são lidos (Linha 2273~2277)
  ↓
Resultado: Bypass da autenticação polkit → instalação de pacote arbitrário como root → criação de bash SUID

Fluxo do ataque

1. Envio assíncrono de InstallFiles(SIMULATE=0x4, dummy) → bypass da autenticação polkit
2. Envio imediato de InstallFiles(NONE=0x0, payload) → corrupção dos flags (TOCTOU)
3. No momento em que o polkit recebe NOT_AUTHORIZED, a instalação do pacote já foi concluída
4. Criação de /tmp/.suid_bash → obtenção de euid=0(root)

🖥️ Ambiente de Análise

📂 Estrutura de Arquivos

CVE-2026-41651-analysis/
├── README.md
└── CVE-2026-41651_분석보고서.docx   # Relatório de análise detalhado

📋 Indicadores de Comprometimento (IoC)

Durante uma tentativa de ataque, os seguintes padrões de log são registrados no sistema.

# Comando de detecção
journalctl -u packagekit | grep -i "assertion\|emitted\|failed"

PackageKit[PID]: pk_backend_job_emit: assertion 'PK_IS_BACKEND_JOB(job)' failed
PackageKit[PID]: g_signal_emit_valist: assertion 'G_TYPE_CHECK_INSTANCE(instance)' failed
PackageKit[PID]: GLib-Object:CRITICAL: g_object_unref: assertion 'G_IS_OBJECT(object)' failed
PackageKit[PID]: backend job failed
PackageKit[PID]: emit transaction failed
PackageKit[PID]: daemon stop    ← travamento
PackageKit[PID]: daemon start   ← reinício automático

# Detecção de arquivos SUID
find /tmp -perm -4000 -type f 2>/dev/null
# → Se /tmp/.suid_bash existir, resposta imediata é necessária

🛡️ Medidas de Mitigação

Aplicação do patch (recomendado)

# Ubuntu / Debian
sudo apt update && sudo apt upgrade packagekit

# RHEL / Fedora
sudo dnf update PackageKit

Verificação de vulnerabilidade

# Verificação de versão (versões 1.3.4 ou anteriores são vulneráveis)
dpkg -l | grep -i packagekit          # Debian/Ubuntu
rpm -qa | grep -i PackageKit          # RHEL/Fedora

# Verificação do status do daemon
systemctl status packagekit

Mitigação temporária (antes do patch)

# Desativar o PackageKit
sudo systemctl disable --now packagekit

⚠️ Ao desativar, ferramentas GUI de gerenciamento de pacotes, como o GNOME Software, ficarão indisponíveis

📅 Linha do Tempo

🔗 Referências

• Página oficial do CVE
• GitHub Security Advisory
• Advisory original da Deutsche Telekom
• Detalhes no NVD
• Commit do patch (76cfb675)
• Repositório do PoC (Vozec)

⚠️ Aviso Legal

Este repositório foi criado para fins de pesquisa e aprendizado em segurança.
A exploração de vulnerabilidades e o acesso não autorizado a sistemas podem resultar em penalidades legais, e todos os testes foram realizados em ambientes isolados de propriedade do autor.