Pack2TheRoot: Kritische Root-Lücke in Linux-PackageKit - Fix verfügbar

Eine kritische Schwachstelle in PackageKit ermöglicht es Angreifern weitreichende Systemrechte unter Linux zu erlangen. Der Fehler blieb fast zwölf Jahre unbemerkt und betrifft viele bekannte Distributionen. Updates stehen allerdings schon bereit.

Schwere Root-Lücke aufgedeckt

Sicherheitsexperten des Red Teams der Deutschen Telekom haben eine schwerwiegende Schwachstelle in zahlreichen Linux-Betriebssystemen ausfindig gemacht. Der auf den Namen Pack2TheRoot getaufte Fehler wird unter der Kennung CVE-2026-41651 und einem Schweregrad von 8,8 geführt. Die Lücke ermöglicht es Angreifern, sich Root-Rechte zu verschaffen. Ein Passwort wird dafür nicht benötigt. Betroffen sind Standardinstallationen von Distributionen wie Ubuntu, Debian und Fedora.

Die Ursache des Problems liegt im PackageKit-Daemon. Das ist eine Hintergrundanwendung, die als Vermittler zwischen dem Benutzer und der Paketverwaltung fungiert. Der Fehler basiert auf einem zeitlichen Abstimmungsproblem, einer TOCTOU-Race-Condition. Dadurch können unprivilegierte Nutzer heimlich Systempakete installieren oder wichtige Sicherheitskomponenten aus dem System entfernen.


Historisch gesehen sind Paketmanager das Herzstück jeder Linux-Distribution. Sie laden Software aus den Repositories herunter und verwalten Abhängigkeiten zwischen den Programmen. Die Architektur von PackageKit wurde ursprünglich entworfen, um diese Prozesse über verschiedene Distributionen hinweg zu vereinheitlichen. Genau diese tiefe Integration in das Betriebssystem macht Schwachstellen an dieser Stelle so kritisch, da sie fundamentale Kontrollmechanismen umgehen.

Lokaler Zugriff erforderlich

Wie die Experten von Telekom Security berichten, blieb die Schwachstelle beinahe zwölf Jahre lang unentdeckt. Alle Versionen von PackageKit zwischen 1.0.2 und 1.3.4 weisen den Fehler auf. Ein Angreifer benötigt für die Ausnutzung jedoch zwingend einen lokalen Zugang zum System. Dabei reichen jedoch einfache Nutzerrechte aus. Es ist davon auszugehen, dass alle Distributionen, die mit aktiviertem PackageKit ausgeliefert werden, anfällig sind. Die Forscher konnten die Schwachstelle bei folgenden Systemen selbst bestätigen:

Bei der Suche nach Sicherheitslücken nutzten die IT-Spezialisten das Sprachmodell Claude Opus. Die künstliche Intelligenz beschleunigte die Analyse des Quellcodes dem Bericht zufolge erheblich, woraufhin die IT-Fachleute den Fund anschließend manuell verifizierten.

Updates stehen bereit

Ein Vorteil für potenzielle Opfer ist, dass die Ausnutzung der Lücke eindeutige Spuren hinterlässt. Der Angriff führt zu einem Absturz des PackageKit-Dienstes, was in den Systemprotokollen verzeichnet wird und überprüft werden kann. Inzwischen steht die bereinigte PackageKit-Version 1.3.5 zur Verfügung. Administratoren sollten umgehend prüfen, ob der Dienst aktiv ist, und ihre Systeme zeitnah aktualisieren. Die Entwickler der großen Linux-Distributionen haben bereits entsprechende Updates bereitgestellt:


Habt ihr eure Linux-Systeme bereits auf die neue PackageKit-Version aktualisiert? Teilt eure Erfahrungen mit dem Patch-Prozess in den Kommentaren.


Siehe auch: