PT-2026-53273 · Acl · Acl

Andreas Gruenbacher + 1 · Publicado 2026-06-29 · Atualizado 2026-06-29 · CVE-2026-54370

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas acl versões anteriores a 2.4.0

Descrição Ocorre uma condição de corrida de tempo de verificação para tempo de uso (TOCTOU) quando um invasor local substitui um componente de caminho por um link simbólico entre uma verificação lstat() e operações subsequentes de seguimento de link simbólico. Essas operações incluem stat(), chown(), chmod(), acl get file() e acl set file(). Se um processo privilegiado invocar getfacl, setfacl ou chacl em um caminho controlado pelo invasor, as operações de lista de controle de acesso a arquivos podem ser redirecionadas para arquivos arbitrários, resultando em escalonamento de privilégios locais.

Recomendações Atualize para a versão 2.4.0 ou posterior.

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-54370

Produtos afetados

Acl

Referências · 5

• https://cgit.git.savannah.nongnu.org/cgit/acl.git/commit/?id=24a227d0ab8576612194f8a56c2314389adc74a5 · Nota
• https://twitter.com/VulmonFeeds/status/2071617947202728107 · Publicação no Twitter
• https://vulncheck.com/advisories/acl-toctou-symlink-traversal-via-getfacl-setfacl-chacl · Nota
• https://cgit.git.savannah.nongnu.org/cgit/acl.git/commit/?id=3589787cd589b34bdd9265936e17190b6d3f17d1 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-54370 · Nota de Segurança