PT-2026-34493 · Unknown · Uutils Coreutils

Zellic · Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-35357

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.7

Média

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions uutils coreutils (versões afetadas não especificadas)

Description O utilitário cp está sujeito a uma condição de corrida de divulgação de informações. Os arquivos de destino são inicialmente criados usando permissões derivadas do umask (por exemplo, 0644) antes que o processo as restrinja ao modo final (por exemplo, 0600). Um invasor local pode explorar essa janela de tempo para abrir o arquivo; o descritor de arquivo resultante permanece válido e legível mesmo após o endurecimento das permissões, permitindo o acesso a conteúdos sensíveis ou privados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-35357

GHSA-2M8X-MVFX-GWGJ

Produtos afetados

Uutils Coreutils

Referências · 10

• 🔥 https://github.com/uutils/coreutils/issues/10011 · Exploit
• https://github.com/uutils/coreutils · Nota
• https://ubuntu.com/security/CVE-2026-35357 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-35357 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35357 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2m8x-mvfx-gwgj · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35357 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047012097553551465 · Publicação no Twitter
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35357 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-35357 · Nota de Segurança