Die Sicherheitslücke Pack2TheRoot stellt eine erhebliche Bedrohung für die Linux-Sicherheitslandschaft dar. Entdeckt wurde sie von Forschern der Deutschen Telekom Red Team, die das Problem im PackageKit daemon aufspürten — einem Hintergrund-Service, der auf Linux-Systemen für Softwareinstallation, Updates und Entfernung von Paketen zuständig ist.
Der Kern des Problems liegt in der Art und Weise, wie PackageKit Paketmanagement-Anfragen verarbeitet. Unter bestimmten Bedingungen können Befehle wie ‘pkcon install’ ausgeführt werden, ohne dass eine Authentifizierung erforderlich ist. Bei Tests auf einem Fedora-System gelang es den Forschern, Systempakete ohne Authentifizierung zu installieren. Mit Unterstützung des KI-Tools Claude Opus erkundeten die Sicherheitsexperten das Exploitations-Potenzial weiter und identifizierten CVE-2026-41651 als exploitbar.
Besonders problematisch: Die Schwachstelle existiert bereits seit November 2014 in PackageKit Version 1.0.2 und betrifft alle Versionen bis einschließlich 1.3.4. Das bedeutet zwölf Jahre ungeschützte Systeme in Unternehmen und Privatanwendungen. Die Deutsche Telekom meldete ihre Erkenntnisse am 8. April an die verantwortlichen Maintainer.
PackageKit Version 1.3.5 behebt die Sicherheitslücke. Allerdings betont das Sicherheitsteam bewusst: Technische Details und Exploit-Demonstrationen werden noch nicht veröffentlicht, um Systemen Zeit zum Patchen zu geben.
Systemadministratoren sollten sofort überprüfen, ob ihre Systeme betroffen sind. Mit den Befehlen ‘dpkg -l | grep -i packagekit’ oder ‘rpm -qa | grep -i packagekit’ lässt sich die installierte Version identifizieren. Um zu kontrollieren, ob der PackageKit-Daemon aktiv läuft, helfen ‘systemctl status packagekit’ oder ‘pkmon’ weiter.
Zwar gibt es keine Hinweise auf bereits erfolgte Angriffe in freier Wildbahn, allerdings beobachteten Forscher charakteristische Spuren bei erfolgreichem Exploit: Der PackageKit daemon stürzt ab und schreibt Fehlermeldungen in die System-Logs, wodurch eine Kompromittierung theoretisch nachverfolgbar ist.
Deutsche Unternehmen sollten ihre Linux-Infrastruktur unverzüglich überprüfen und alle PackageKit-Abhängigkeiten auf sichere Versionen aktualisieren.