C’è una nuova vulnerabilità in molte distribuzioni Linux che è stata battezzata Pack2TheRoot di cui è bene essere al corrente e fare i dovuti controlli sui propri sistemi.

È stata associata alla CVE-2026-41651 e riguarda la componente di sistema PackageKit, che consente agli utenti locali Linux (quindi non privilegiati) di installare o rimuovere pacchetti. La gravità di questa anomalia è 8.8 su 10, quindi sicuramente pericolosa e, come molte situazioni simili che abbiamo visto nel tempo, si annidava da anni all’interno del demone PackageKit.

A scoprire e descrivere nel dettaglio come la vulnerabilità può essere utilizzata è stato il Red Team di Deutsche Telekom, il quale ha fornito tutti i dettagli del caso sia per capire come agisce l’anomalia, sia come fare a capire se si hanno pacchetti affetti.

Ma andiamo con ordine. La scoperta è partita nel 2025, quando il team in questione ha cercato di esplorare come il comando pkcon install potesse essere sfruttato per installare un pacchetto (inizialmente in Fedora) senza richiedere la password. Grazie all’impiego di Claude Opus i ricercatori sono riusciti a creare un exploit sfruttabile in tutte le versioni di PackageKit comprese tra la 1.0.2 (rilasciata la bellezza di 12 anni fa!) e la 1.3.4, andando a creare una lista (non esaustiva) delle distribuzioni affette:

• Ubuntu Desktop 18.04 (EOL), 24.04.4 (LTS), 26.04 (LTS beta)
• Ubuntu Server 22.04 – 24.04 (LTS)
• Debian Desktop Trixie 13.4
• RockyLinux Desktop 10.1
• Fedora 43 Desktop
• Fedora 43 Server

Se quindi utilizzate queste distribuzioni e avete una delle versioni di PackageKit sopra riportate (lo potete scoprire con dpkg -l | grep -i packagekit o con rpm -qa | grep -i packagekit), potreste esser stati compromessi.

Un modo per scoprirlo è utilizzare journalctl, in questo modo:

# journalctl --no-pager -u packagekit | grep -i emitted_finished
Apr 18 09:56:36 Rocky10 packagekitd[2082]: PackageKit:ERROR:../src/pk-transaction.c:514:pk_transaction_finished_emit: assertion failed: (!transaction->priv->emitted_finished)
Apr 18 09:56:36 Rocky10 packagekitd[2082]: Bail out! PackageKit:ERROR:../src/pk-transaction.c:514:pk_transaction_finished_emit: assertion failed: (!transaction->priv->emitted_finished)

L’articolo originale contiene anche una Proof Of Concept che dimostra come sfruttare la vulnerabilità che, fortunatamente per tutti, è già stata risolta nella maggioranza delle distribuzioni.

Non è necessario aggiungere nient’altro a parte il consueto: aggiornate, aggiornate, aggiornate!