PT-2026-34494 · Unknown · Uutils Coreutils

Zellic · Publicado 2026-04-22 · Atualizado 2026-05-04 · CVE-2026-35358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.5

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Name of the Vulnerable Software and Affected Versions uutils coreutils (versões afetadas não especificadas)

Description O utilitário cp manipula incorretamente nós de dispositivos de caractere e bloco durante cópias recursivas usando a flag -R. Em vez de preservar os nós de dispositivo via mknod, o utilitário os trata como fontes de fluxo e lê seus bytes em arquivos regulares no destino. Essa destruição da semântica do dispositivo pode resultar em negação de serviço em tempo de execução, potencialmente causando travamentos de processos ou exaustão de disco ao ler nós de dispositivos ilimitados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

DoS

Enumeração de Fraquezas

CWE-706

Identificadores relacionados

CVE-2026-35358

GHSA-67HP-F6HQ-2H6G

Produtos afetados

Uutils Coreutils

Referências · 14

• 🔥 https://github.com/uutils/coreutils/issues/9746 · Exploit
• https://github.com/uutils/coreutils/pull/11163 · Correção
• https://github.com/uutils/coreutils/releases/tag/0.7.0 · Aviso do Fabricante
• https://github.com/uutils/coreutils · Nota
• https://github.com/uutils/coreutils/commit/e6a3bb596f149628ba973eec3d099f3bb69f2464 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-35358 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-35358 · Aviso do Fabricante
• https://t.me/cveNotify/162056 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2026-35358 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35358 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-67hp-f6hq-2h6g · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-35358 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-35358 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2047012096496566462 · Publicação no Twitter