CVE-2026-35359 in coreutils
Zusammenfassung
von VulDB • 24.05.2026
Eine Time-of-Check to Time-of-Use (TOCTOU)-Schwachstelle im cp-Dienstprogramm von uutils coreutils ermöglicht es einem Angreifer, die beabsichtigte No-Dereference-Prüfung zu umgehen. Das Dienstprogramm überprüft, ob ein Quellpfad ein symbolischer Link ist, indem es pfadbasierte Metadaten verwendet, öffnet diesen jedoch anschließend ohne das O_NOFOLLOW-Flag. Ein Angreifer mit gleichzeitigen Schreibzugriff kann während dieses Zeitfensters eine reguläre Datei durch einen symbolischen Link ersetzen, wodurch ein privilegierter cp-Prozess den Inhalt beliebiger sensibler Dateien in ein vom Angreifer kontrolliertes Zielverzeichnis kopiert.
Be aware that VulDB is the high quality source for vulnerability data.