Nach Darstellung der Deutschen Telekom setzt sich Pack2TheRoot aus drei einzelnen Problemen zusammen. Vom Aufrufer übergebene Flags werden geschrieben, ohne dass geprüft wird, ob die Transaktion autorisiert ist oder ob sie überhaupt läuft. In der Folge läuft eine Transaktion mit manipulierten Flags ab. Da die Flags nicht zum Zeitpunkt der Autorisierung, sondern erst beim Dispatch ausgewertet werden, sieht das Backend die vom Angreifer eingeschleusten Flags.

Welche Systeme betroffen sind, hat das Red Team der Deutschen Telekom konkret benannt. Bestätigt verwundbar sind unter anderem Ubuntu Desktop 18.04 (EOL), 24.04.4 (LTS) und 26.04 (LTS-Beta), Ubuntu Server 22.04 bis 24.04 (LTS), Debian Desktop Trixie 13.4, RockyLinux Desktop 10.1 sowie Fedora 43 in der Desktop- und Server-Variante.

Die Reichweite dürfte darüber hinausgehen: „Es ist davon auszugehen, dass alle Distributionen verwundbar sind, die PackageKit mit aktivierter Funktion ausliefern", so die Deutsche Telekom. Da PackageKit eine optionale Abhängigkeit des Cockpit-Projekts sei, könnten auch viele Server mit installiertem Cockpit betroffen sein, darunter Red Hat Enterprise Linux (RHEL).

Technische Einzelheiten zur Lücke hält das Unternehmen zurück. Zur Begründung verweist es darauf, dass sich der Fehler leicht ausnutzen lasse und Angreifern „Root-Zugriff oder eine anderweitige Kompromittierung des Systems" ermöglichen könne.

Ein erfolgreicher Angriff hinterlässt jedoch Spuren. „Obwohl sich die Schwachstelle zuverlässig in Sekunden ausnutzen lässt, hinterlässt sie Spuren, die einen deutlichen Hinweis auf eine Kompromittierung liefern. Nach erfolgreicher Ausnutzung läuft der PackageKit-Daemon in einen Assertion-Fehler und stürzt ab", erklärt die Deutsche Telekom. Systemd stelle den Daemon beim nächsten D-Bus-Aufruf wieder her, was eine Denial-of-Service-Situation verhindere; der Absturz sei aber in den Systemprotokollen sichtbar.

Behoben wurde Pack2TheRoot mit PackageKit 1.3.5. Patches sind zudem in aktuelle Aktualisierungen von Debian, Ubuntu und Fedora eingeflossen.