CVE-2026-35360
ŚrednieStreszczenie
Narzędzie touch w uutils coreutils jest podatne na warunek wyścigu TOCTOU podczas tworzenia plików. Po zidentyfikowaniu brakującej ścieżki, narzędzie później próbuje utworzyć plik za pomocą File::create(), które wewnętrznie używa O_TRUNC. Atakujący może wykorzystać to okno czasowe do stworzenia pliku.
Ocena ryzyka
Ryzyko polega na możliwości podmiany pliku przez atakującego w oknie czasowym między sprawdzeniem a utworzeniem, co może prowadzić do nieautoryzowanego dostępu lub uszkodzenia danych.
Rekomendacja
Zaleca się aktualizację uutils coreutils do najnowszej wersji zawierającej poprawkę eliminującą warunek wyścigu TOCTOU. Należy również rozważyć stosowanie mechanizmów blokad plików.
Oryginalny opis (angielski, źródło NVD)
The touch utility in uutils coreutils is vulnerable to a Time-of-Check to Time-of-Use (TOCTOU) race condition during file creation. When the utility identifies a missing path, it later attempts creation using File::create(), which internally uses O_TRUNC. An attacker can exploit this window to creat