🛡️ Модуль инструмента безопасности ИИ
CVE-2026-41651: Локальное повышение привилегий TOCTOU в PackageKit (Pack2TheRoot)

Официальный модуль аудита безопасности и эксплуатации для экосистемы инструментов безопасности ИИ

---

🌐 Веб-демо • 📚 Веб-сайт проекта • 💬 Чат сообщества

Навигация по сайту: Главная • Обновления • Загрузки • Модули

---

🧠 Концептуальный обзор

Этот модуль предоставляет диагностические инструменты и глубокий технический анализ для CVE-2026-41651 (Pack2TheRoot) — критической гонки типа Time-of-Check to Time-of-Use (TOCTOU) в обработчике транзакций PackageKit (packagekitd).

Уязвимость позволяет любому локальному непривилегированному пользователю обойти проверки авторизации и установить произвольные пакеты от имени root без какой-либо аутентификации.

📊 Спецификации уязвимости

Спецификация	Присвоенное значение	Примечания
Идентификатор CVE	CVE-2026-41651	Локальное повышение привилегий через TOCTOU в PackageKit
Компонент	Демон PackageKit (packagekitd)	Основной обработчик транзакций
Уязвимые версии	1.0.2 – 1.3.4	Непропатченные выпуски демона
Исправлено в	1.3.5	В обработчик транзакций добавлена проверка состояния
Воздействие и вектор	Локальное повышение привилегий → root	Не требуется аутентификация или взаимодействие с пользователем
Протестированные платформы	Ubuntu 24.04, Debian 12	Стандартные конфигурации системы

Демонстрация

🔬 Технические подробности уязвимости

Три отдельные ошибки в src/pk-transaction.c объединяются в цепочку, создавая окно TOCTOU между авторизацией и выполнением:

• Ошибка 1 — Безусловная перезапись флагов (строка 4036): InstallFiles() безусловно перезаписывает cached_transaction_flags и cached_full_paths без проверки состояния.
• Ошибка 2 — Молчаливый отказ перехода состояния (строки 876–881): pk_transaction_set_state() молча отбрасывает обратные переходы, при этом флаги остаются перезаписанными.
• Ошибка 3 — Позднее чтение флагов (строки 2273–2277): pk_transaction_run() читает кэшированные флаги во время диспетчеризации из GLib idle, а не во время авторизации.
• Бонус — SIMULATE обходит polkit (строки 2893–2900): Установка PK_TRANSACTION_FLAG_SIMULATE (бит 2, значение 0x4) полностью пропускает проверку polkit.