CVE-2026-35359
ŚrednieStreszczenie
Podatność TOCTOU w narzędziu cp pakietu uutils coreutils umożliwia atakującemu ominięcie zamierzonego braku podążania za dowiązaniami symbolicznymi. Narzędzie sprawdza, czy ścieżka źródłowa jest dowiązaniem symbolicznym na podstawie metadanych ścieżki, ale następnie otwiera ją bez flagi O_NOFOLLOW.
Ocena ryzyka
Atakujący z dostępem do systemu może wykorzystać tę lukę do nieautoryzowanego dostępu do plików lub eskalacji uprawnień poprzez podmianę dowiązania symbolicznego między sprawdzeniem a użyciem.
Rekomendacja
Zaleca się natychmiastową aktualizację pakietu uutils coreutils do wersji zawierającej poprawkę usuwającą podatność TOCTOU oraz wdrożenie mechanizmów monitorowania integralności plików.
Oryginalny opis (angielski, źródło NVD)
A Time-of-Check to Time-of-Use (TOCTOU) vulnerability in the cp utility of uutils coreutils allows an attacker to bypass no-dereference intent. The utility checks if a source path is a symbolic link using path-based metadata but subsequently opens it without the O_NOFOLLOW flag. An attacker with con