Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] PackageKit (abstrakce pro APT, DNF atd.) opravuje 1 zranitelnost

PackageKit, abstrakce pro nástroje jako APT a DNF [1], verzí 1.3.5 opravuje vysoce závažnou zranitelnost [2]. Opravu rovněž vydaly Debian i Ubuntu [3][4]. Red Hat pro své systémy RHEL zatím opravu nevydal a doporučuje PackageKit blokovat příkazem "systemctl mask packagekit.service" [5]. Jednotlivá vydání Debianu a Ubuntu a jejich opravené verze: Debian [3]: bullseye (security) - 1.2.2-2+deb11u1 bookworm (security) - 1.2.6-5+deb12u1 trixie (security) - 1.3.1-1+deb13u1 forky, sid - 1.3.5-1 Ubuntu [4]: resolute - 1.3.4-3ubuntu1 questing - 1.3.1-1ubuntu1.1 noble - 1.2.8-2ubuntu1.5 jammy - 1.2.5-2ubuntu3.1

PackageKit - privilege escalation (CVE-2026-41651)
CVSS 8.8 (High)

Autentizovanému lokálnímu útočníkovi je umožněno zvýšit svá oprávnění a vykonávat tak příkazy s právy root [2]. Zneužití zranitelnosti bylo ověřeno na různých desktopových i serverových distribucích, včetně nejnovějších vydání Ubuntu, Debianu a Fedory, a to i při využití výchozích instalačních konfigurací. Ověření zneužití bylo provedeno pomocí PoC skriptu, který však zatím nebyl oficiálně zveřejněn [6]. Zda již ke zneužití zranitelnosti na vašem systému došlo, lze ověřit pomocí journalctl, podrobnosti lze nalézt na [6].

Zranitelnost se nachází v produktu:

  • PackageKit; >=1.0.2, <1.3.5;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 22. 4. 2026.

Za CESNET, z.s.p.o. Martin Krajči dne 27. 4. 2026.

CESNET, z.s.p.o. Logo