Как Firefox обновляется, не запрашивая пароль root/sudo?

Причина, по которой вам не нужно вводить пароли sudo для обновлений в современных системах, заключается в том, что эти процессы в настоящее время управляются с помощью Polkit (ранее называвшегося PolicyKit). Это механизм, который проверяет, авторизован ли запрос, т.е. на обновление, или нет. Это определяется через правила polkit.

Firefox по умолчанию устанавливается через систему управления пакетами APT. В Ubuntu 21.10 Firefox устанавливается как пакет Snap. Для большинства обновлений политика настроена таким образом, что их можно проверить и выполнить, пока пользователь с root-доступом вошел в систему, без дополнительной необходимости предоставлять судо пароль. Для обновлений ядра политика настроена так, что по-прежнему требует ввода пароля sudo.