Derrière le rideau : comment « Pack2TheRoot » a exposé des millions de systèmes Linux à une prise de contrôle root instantanée

Dans le monde de Linux, où la sécurité est souvent vantée comme une force majeure, une vulnérabilité récemment découverte a brisé bien des certitudes. Pendant plus d’une décennie, une subtile condition de concurrence s’est cachée au cœur de PackageKit - un outil de confiance pour d’innombrables distributions - permettant discrètement à des utilisateurs non privilégiés de s’emparer des privilèges root en quelques secondes. Aujourd’hui, alors que la poussière retombe, la question n’est pas seulement de savoir comment cette faille, connue sous le nom de « Pack2TheRoot », a pu passer inaperçue si longtemps, mais aussi combien de systèmes ont déjà été compromis avant que l’alerte ne soit donnée.

En bref

• Pack2TheRoot (CVE-2026-41651) est une vulnérabilité Linux de haute gravité avec un score CVSS de 8,1.
• La faille affecte les versions de PackageKit de 1.0.2 à 1.3.4, et potentiellement depuis la version 0.8.1 sortie il y a 14 ans.
• Des utilisateurs non privilégiés peuvent installer des paquets RPM arbitraires en tant que root sans authentification.
• Les principales distributions concernées incluent Ubuntu, Debian, RockyLinux, Fedora, et probablement d’autres utilisant PackageKit.
• Des correctifs sont désormais disponibles dans PackageKit 1.3.5 et dans les mises à jour récentes des distributions.

Anatomie d’une menace négligée

Surnommée « Pack2TheRoot » par la Red Team de Deutsche Telekom, la vulnérabilité est un exemple classique de condition de concurrence de type TOCTOU (time-of-check time-of-use). Au cœur du problème, la faille résulte d’un trio de bugs logiques dans la gestion des transactions de PackageKit : elle ne validait pas correctement les indicateurs fournis par l’utilisateur et permettait qu’ils soient écrits puis lus au mauvais moment. Cette gestion subtilement défaillante signifiait que des attaquants pouvaient injecter leurs propres instructions dans des opérations privilégiées, trompant le backend pour exécuter des installations de paquets avec les droits root - sans mot de passe requis.

Ce qui rend Pack2TheRoot particulièrement inquiétant, c’est la facilité de son exploitation. Les chercheurs en sécurité ont démontré que même des utilisateurs inexpérimentés pouvaient exploiter la faille en quelques secondes. L’attaque laisse des signes révélateurs : après une exploitation réussie, le démon PackageKit plante, générant des logs qui pourraient servir de signal d’alarme pour les administrateurs système. Cependant, grâce à la récupération automatique de systemd, les services sont rapidement restaurés, masquant l’incident à une observation superficielle.

Les distributions Linux confirmées comme vulnérables incluent non seulement les versions grand public telles qu’Ubuntu (de la 18.04 aux dernières versions LTS), Debian Trixie, RockyLinux 10.1 et Fedora 43, mais aussi tout système avec PackageKit activé. Les serveurs utilisant l’interface de gestion Cockpit sont particulièrement à risque, PackageKit étant souvent une dépendance. L’étendue de la faille est telle que les experts préviennent : si vous utilisez PackageKit, considérez-vous à risque tant que vous n’avez pas appliqué le correctif.

Une leçon de vigilance

L’affaire Pack2TheRoot rappelle de façon frappante que même des composants matures et minutieusement examinés peuvent abriter des failles critiques pendant des années. Bien que des correctifs aient désormais été publiés, l’incident souligne la nécessité de mettre à jour rapidement ses systèmes et l’importance de surveiller les signes de compromission. Alors que Linux continue d’alimenter l’infrastructure mondiale, la communauté doit rester vigilante - car en cybersécurité, la moindre négligence peut ouvrir la porte au désastre.

WIKICROOK

• Privilèges root : Les privilèges root sont les droits d’accès les plus élevés sur un système, permettant un contrôle total sur toutes les fonctions, paramètres et données. Réservés aux utilisateurs de confiance.
• TOCTOU (Time : TOCTOU est une condition de concurrence où la ressource d’un système change d’état entre la vérification et l’utilisation, permettant potentiellement à des attaquants d’exploiter ce décalage temporel.
• PackageKit : PackageKit est un service Linux qui gère l’installation, la mise à jour et la suppression de logiciels, offrant une interface cohérente entre différents gestionnaires de paquets.
• Paquet RPM : Un paquet RPM est un format de fichier pour installer et gérer des logiciels sur les systèmes Linux, couramment utilisé dans les distributions basées sur Red Hat pour des déploiements sécurisés.
• Démon : Un démon est un processus en arrière-plan qui s’exécute en continu sur un ordinateur, accomplissant des tâches système ou réseau essentielles sans interaction directe avec l’utilisateur.