[TLP:CLEAR] PackageKit (abstrakcia pre APT, DNF, atď.) opravuje 1 zraniteľnosť

PackageKit, abstrakcia pre nástroje ako APT a DNF [1], verziou 1.3.5 opravuje vysoko závažnú zraniteľnosť [2]. Opravu taktiež vydal Debian aj Ubuntu [3][4]. Red Hat pre svoje RHEL systémy zatiaľ opravu nevydal a odporúča PackageKit blokovať cez príkaz "systemctl mask packagekit.service" [5]. Jednotlivé Debian a Ubuntu vydania a ich opravené verzie: Debian [3]: bullseye (security) - 1.2.2-2+deb11u1 bookworm (security) - 1.2.6-5+deb12u1 trixie (security) - 1.3.1-1+deb13u1 forky, sid - 1.3.5-1 Ubuntu [4]: resolute - 1.3.4-3ubuntu1 questing - 1.3.1-1ubuntu1.1 noble - 1.2.8-2ubuntu1.5 jammy - 1.2.5-2ubuntu3.1

PackageKit - privilege escalation (CVE-2026-41651)
CVSS 8.8 (High)

Autentizovanému lokálnemu útočníkovi je umožnené zvýšiť svoje oprávnenia a vykonávať tak príkazy s právami root [2]. Zneužitie zraniteľnosti bolo overené na rôznych desktop aj server distribúciách, vrátane najnovších vydaní Ubuntu, Debianu a Fedory, a to aj pri využití predvolených inštalačných konfigurácií. Overnie zneužitia bolo vykonané pomocou PoC skriptu, ktorý ale zatiaľ nebol oficiálne zverejnený [6]. To či k zneužitiu zraniteľnosti na vašom systéme už došlo je možné overiť pomocou journalctl, podrobnosti je možné nájsť na [6].

Zraniteľnosť sa nachádza v produkte:

  • PackageKit; >=1.0.2, <1.3.5;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 22. 4. 2026.

Za CESNET, z.s.p.o. Martin Krajči dňa 27. 4. 2026.

CESNET, z.s.p.o. Logo