PackageKit 1.3.5 corrige escalada a root; PoC já é pública
Uma corrida time-of-check time-of-use nas flags de transação do PackageKit (CVE-2026-41651, CVSS 8.8) permite que um usuário local sem privilégios instale pacotes arbitrários como root, inclusive pacotes com scripts privilegiados de instalação. A falha, apelidada Pack2TheRoot, afeta o PackageKit 1.0.2 a 1.3.4 em várias distribuições Linux e já tem prova de conceito pública. A correção saiu no PackageKit 1.3.5; atualize o pacote nos servidores e estações Linux.
O que aconteceu
Uma falha no gerenciador de pacotes PackageKit do Linux permite que qualquer pessoa com acesso local a uma máquina, mesmo sem permissões, obtenha controle total (root). A prova de conceito já é pública e a correção existe, no PackageKit 1.3.5.
Por que importa
A falha (CVE-2026-41651, gravidade alta, CVSS 8.8) afeta as versões 1.0.2 a 1.3.4 em várias distribuições Linux. O Produto é usado para instalar pacotes, o ataque vem de dentro da máquina. Em servidores ou estações com vários usuários, um invasor instala software malicioso com privilégios máximos e compromete o sistema inteiro.
O que fazer
Atualize o PackageKit para a versão 1.3.5 ou superior em todos os servidores e estações Linux. Levante quais máquinas rodam versões afetadas e confirme se a sua distribuição já empacotou a correção.
Para o time técnico
- CVE
- CVE-2026-41651
- Afetados
- PackageKit (gerenciador de pacotes, Linux) · PackageKit 1.0.2 a 1.3.4; várias distribuições Linux.
- Exploração
- Prova de conceito pública, com link divulgado pelo DarkWebInformer. A fonte não relata exploração em campo nem entrada no KEV.
- Correção
- PackageKit 1.3.5, segundo a fonte.
- Vetor
- Corrida time-of-check time-of-use (TOCTOU) nas flags de transação do PackageKit. Exige atacante com acesso local e conta de baixo privilégio; a fonte informa que não é necessária interação adicional do usuário. O atacante abusa do estado da transação para instalar pacotes arbitrários como root, inclusive pacotes com scripts privilegiados de instalação.
- Mais detalhes
- Apelido da falha: Pack2TheRoot. CVSS 8.8 High. Resultado: escalada local de privilégios para root.
Linha do tempo
Divulgação inicial com PoC pública e faixa de versões afetadas (1.0.2 a 1.3.4).
Fontes 1 fonte
- @DarkWebInformer @DarkWebInformer
