PT-2026-34488 · Unknown · Uutils Coreutils

Zellic · Publicado 2026-04-22 · Atualizado 2026-05-04 · CVE-2026-35352

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions uutils coreutils (versões afetadas não especificadas)

Description Uma condição de corrida de Tempo de Verificação para Tempo de Uso (TOCTOU) existe no utilitário mkfifo. Isso ocorre quando o utilitário cria um FIFO e, posteriormente, executa um chmod baseado em caminho para definir as permissões. Um invasor local com acesso de gravação ao diretório pai pode substituir o FIFO recém-criado por um link simbólico entre essas duas operações, redirecionando a chamada chmod para um arquivo arbitrário. Isso pode levar à escalada de privilégios se o utilitário for executado com privilégios elevados. TOCTOU é um erro de software onde um sistema verifica o estado de um recurso antes de usá-lo, mas o estado muda entre a verificação e o uso.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

LPE

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-35352

GHSA-9GH9-HWPR-RVQQ

Produtos afetados

Uutils Coreutils

Referências · 15

• 🔥 https://github.com/uutils/coreutils/issues/10020 · Exploit
• https://github.com/uutils/coreutils · Nota
• http://openwall.com/lists/oss-security/2026/05/04/4 · Nota
• https://osv.dev/vulnerability/GHSA-9gh9-hwpr-rvqq · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2047012102938968277 · Publicação no Twitter
• https://ubuntu.com/security/CVE-2026-35352 · Aviso do Fabricante
• https://twitter.com/giuseppe_1337/status/2047857888090054678 · Publicação no Twitter
• https://cve.org/CVERecord?id=CVE-2026-35352 · Nota de Segurança
• http://openwall.com/lists/oss-security/2026/05/04/6 · Nota
• https://t.me/cveNotify/162012 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-35352 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35352 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2026/05/04/5 · Nota
• https://security-tracker.debian.org/tracker/CVE-2026-35352 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35352 · Aviso do Fabricante