Никто не мешает системе управления пакетами поставить suid-бинарник.
Единственная известная мне система управления пакетами, которая в этом случае задает админу вопросы и предлагает подтвердить действие - это Solaris-ная. И то она нифига не спасает, потому что есть еще postinst скрипт, про который тоже задается вопрос "исполнять ли его из-под рута" но не говорится, а что именно он при этом будет делать, и не предлагается варианта запустить его с пониженными правами.