Condición de carrera en el servicio PackageKit para Linux

Fecha de publicación 27/04/2026

Identificador

INCIBE-2026-313

Importancia

4 - Alta

Recursos Afectados

PackageKit, versiones desde la 0.8.1 hasta la 1.3.4, ambas incluidas.

La vulnerabilidad se ha probado y confirmado explícitamente en las siguientes distribuciones en instalaciones predeterminadas con los gestores de paquetes apt y dnf:

Ubuntu Desktop 18.04 (fin de soporte), 24.04.4 (LTS), 26.04 (LTS beta);
Ubuntu Server 22.04 - 24.04 (LTS);
Debian Desktop Trixie 13.4;
RockyLinux Desktop 10.1;
Fedora Desktop 43;
Fedora Server 43.

Descripción

msatdt, del Red Team de Deutsche Telekom, ha informado sobre una vulnerabilidad de severidad alta que podría permitir a un atacante sin privilegios instalar paquetes como root, lo que conlleva una escalada de privilegios local. Esta vulnerabilidad se ha denominado Pack2TheRoot.

Solución

Actualizar a la versión 1.3.5 o superior.

Detalle

CVE-2026-41651: un usuario local no autenticado y sin privilegios podría instalar paquetes RPM arbitrarios como root, lo que incluye la ejecución de scripts RPM. La vulnerabilidad consiste en una condición de carrera TOCTOU en 'transaction->cached_transaction_flags' combinada con una protección silenciosa de la máquina de estados que descarta las transiciones inversas ilegales, pero mantiene los indicadores corruptos. Esto conlleva a una escalada de privilegios.

CVE