CVE-2026-41651 – TOCTOU LPE in PackageKit 1.0.2-1.3.4

TOCTOU in PackageKit 1.0.2-1.3.4: privilegi elevati da utenti non root

CVE-2026-41651 è una vulnerabilità di race condition nella gestione delle transazioni di PackageKit, che consente a utenti locali non privilegiati di installare pacchetti RPM arbitrari e eseguire codice come root. Interessa tutte le versioni da 1.0.2 a 1.3.4 di questo componente centrale dei sistemi Linux basati su RPM (Red Hat, CentOS, Fedora). L'attacco richiede solo accesso locale: un utente non root può sfruttare il difetto TOCTOU per modificare i flag della transazione tra il momento dell'autorizzazione e l'esecuzione, aggirando completamente i controlli di sicurezza del D-Bus.

Il CVSS ufficiale è 8,8 (high). La vulnerabilità è patched in PackageKit 1.3.5, disponibile dal 22 aprile 2026. Il 6 novembre 2026 sono stati pubblicamente segnalati su GitHub repository contenenti un PoC e exploit per questa falla, indicando che la disponibilità di codice malevolo è concreta e imminente. Sysadmin e team IT devono considerare questa come una minaccia immediata, specialmente per ambienti dove utenti con accesso shell locale sono presenti e per sistemi di sviluppo o amministrativi gestiti centralmente.

Azione immediata: verificare la versione di PackageKit su tutti i sistemi Red Hat family. Priorità massima per sistemi a utenti multipli, server di sviluppo e postazioni amministrative. Applicare l'update a 1.3.5 o superiore tramite i repository di distribuzione ufficiali. Dove l'aggiornamento è ostacolato, valutare il disabilitamento temporaneo di PackageKit se non critico, o l'isolamento dei sistemi vulnerabili fino alla patch. Verificare i log di PackageKit per attività sospette di installazione di pacchetti o esecuzione di scriptlet.

In sintesi

Cosa: CVE-2026-41651 è una vulnerabilità di race condition TOCTOU in PackageKit che consente a utenti non privilegiati di installare pacchetti RPM arbitrari e eseguire scriptlet come root, senza autenticazione. La falla risiede in tre bug in src/pk-transaction.c: 1) sovrascrittura incondizionata dei flag della transazione (line 4036); 2) rifiuto silenzioso di transizioni di stato illegittime (lines 873–882); 3) lettura tardiva dei flag al momento dell'esecuzione (lines 2273–2277).
Gravità: CVSS 8,8 - High. Escalation locale a root da parte di utenti non privilegiati, con possibilità di eseguire codice arbitrario attraverso scriptlet RPM senza autenticazione.
Versioni interessate: PackageKit dalla versione 1.0.2 alla 1.3.4 (incluse). Tutti i sistemi RPM-based (Red Hat, CentOS, Fedora, etc.) che eseguono queste versioni sono vulnerabili.
Correzione: Aggiornare a PackageKit versione 1.3.5 o superiore tramite i repository ufficiali della distribuzione.
Stato: Patched in versione 1.3.5 dal 22 aprile 2026. Exploit PoC pubblicamente disponibile: segnalato su GitHub il 6 novembre 2026 con dichiarazione di implementazione indipendente in C.
Azione: Verificare urgentemente le versioni di PackageKit in uso. Priorità massima per sistemi multi-utente, server di sviluppo e postazioni amministrative. Applicare patch a 1.3.5+. Dove l'aggiornamento è ostacolato, valutare il disabilitamento temporaneo di PackageKit o l'isolamento dei sistemi. Monitorare i log per attività sospette di installazione.

Fonti: NVD, CVE-2026-41651

← Tutti gli articoli