قبل بضعة أيام تم الكشف عن معلومات حول ثغرة أمنية خطيرة جديدة يؤثر ذلك على بيئات لينكس المسماة "Pack2TheRoot". مُفهرس تحت رقم CVE-2026-41651يؤثر هذا الخلل على PackageKit (وهي أداة تعمل كطبقة تجريد D-Bus لتوحيد إدارة الحزم عبر توزيعات متعددة).
يذكر أن الحكم يسمح هذا لأي مستخدم محلي بدون امتيازات بتثبيت أو إزالة الحزم بشكل تعسفي. باستغلال هذه الثغرة الأمنية، يستطيع المهاجم الحصول على صلاحيات الجذر الكاملة للنظام المخترق. ويُعدّ تأثيرها بالغاً، إذ أن هذه المشكلة موجودة منذ الإصدار 1.0.2، الذي صدر قبل أكثر من اثني عشر عاماً (في عام 2014)، وتؤثر على الإعدادات الافتراضية لتوزيعات شائعة مثل أوبونتو، وديبيان، وروكي لينكس، وفيدورا.
Pack2TheRoot: ثغرة أمنية في PackageKit تمنح صلاحيات المسؤول على نظام Linux
El جاء اكتشاف Pack2TheRoot نتيجةً لتحقيقٍ ما. بقيادة الفريق الأحمر التابع لشركة دويتشه تيليكوم، الذي استخدموا نموذج الذكاء الاصطناعي كلود أوبوس لتوجيه تحليلهم لوسائل تصعيد الامتيازات المحلية.
Loلاحظ الباحثون في البداية أنه يمكن تنفيذ أمر تثبيت pkcon دون الحاجة إلى كلمة مرور.في بعض إعدادات فيدورا، مما أثار الشكوك حول آلية التفويض الأساسية. بعد التأكد من الثغرة الأمنية وإبلاغ القائمين على صيانة PackageKit بها بشكل مسؤول، تم تطوير ثغرة أمنية فعالة، على الرغم من أن نشرها المفصل قد تم تأجيله استراتيجياً للسماح للمستخدمين والمسؤولين بتطبيق التحديثات اللازمة.
آليات الهجوم
جذر تكمن نقاط الضعف في حالة مهنية (نوع TOCTOU: من وقت الفحص إلى وقت الاستخدام) ضمن إدارة عمليات الخلفية والمعاملات (الخادم) الخاص بـ PackageKitيقوم PackageKit، الذي يعمل بصلاحيات المستخدم الجذر، بتفويض صلاحيات الوصول إلى نظام polkit. عندما يطلب أحد العملاء تثبيت حزمة، على سبيل المثال باستخدام طريقة InstallFiles، فإنه يرسل مجموعة من العلامات التي تحدد سلوك العملية.
تُستخدم علامات محددة، مثل SIMULATE أو ONLY_DOWNLOAD، لتوجيه PackageKit لتجاوز عملية تفويض polkit. لأنها تمثل عمليات آمنة، من الناحية النظرية، لا تُغير حالة النظام. يحدث الفشل لأن معالج المعاملات يقوم بالكتابة فوق يتم تخزين هذه المؤشرات بشكل غير مشروط مع كل مكالمة جديدة، دون التحقق مما إذا كانت المعاملة قد تمت الموافقة عليها بالفعل أو أنها قيد التنفيذ.
Un يمكن للمهاجم بدء معاملة باستخدام مؤشرات "آمنة". (وبذلك يتم التحايل على تفويض بولكيت) وبعد أجزاء من الثانية، يتم إرسال طلب D-Bus ثانٍ لنفس المعاملة، ولكن هذه المرة باستخدام علامات خبيثة تأمر بتثبيت فعلي. ونظرًا لبنية أولوية حلقة أحداث GLib (حيث تُعالج رسائل D-Bus قبل عمليات الاستدعاء الخاملة)، فإن الطلب الثاني يستبدل المعلمات قبل أن يبدأ المجدول العملية مباشرةً.
ونتيجة لذلك، يتم تنفيذ المعاملة التي تم التصريح بها مسبقًا على أنها "آمنة" باستخدام المعلمات البديلة.، تثبيت الحزمة بصلاحيات المسؤول.
الحلول والتخفيف
Cabe señalar que la تم إصلاح الثغرة الأمنية في الإصدار 1.3.5 من PackageKitلذلك، يحث المطورون مسؤولي النظام على التحقق مما إذا كانت أنظمتهم عرضة للاختراق عن طريق التحقق من حالة الخدمة باستخدام أوامر مثل systemctl status packagekit أو عن طريق مراقبة النشاط باستخدام pkmon.
ال بدأت التوزيعات الرئيسية، بما في ذلك ديبيان وأوبونتو وفيدورا، بالفعل في توزيع الحزم. تُصدر التحديثات عبر قنواتها الرسمية. أما بالنسبة للأنظمة التي لا يتوفر لها تحديث فوري، فقد اقترح الباحثون حلاً بديلاً: وهو نشر قاعدة polkit مخصصة.
هذا تقوم القاعدة برفض إجراءات تثبيت PackageKit فوراً وبصمت. بالنسبة لأي مستخدم آخر غير المستخدم الجذر، يمنع هذا الإجراء ظهور نافذة حالة التزامن. من المهم ملاحظة أنه على الرغم من أن الاستغلال سريع وصامت، إلا أنه يترك أثرًا واضحًا في سجلات النظام: فبعد نجاح الاستغلال، يتعطل برنامج PackageKit بسبب فشل التأكيد (فشل التأكيد: (!transaction->priv->emitted_finished)). على الرغم من أن systemd يعيد تشغيل الخدمة، مانعًا بذلك هجوم حجب الخدمة، إلا أن وجود هذه الرسالة في journalctl يُعد مؤشرًا قويًا على اختراق النظام.
وأخيرًا، إذا كنت مهتمًا بمعرفة المزيد عن هذا الموضوع، يمكنك الرجوع إلى التفاصيل في الرابط التالي.