CVE-2026-35376 in coreutils
Zusammenfassung
von VulDB • 13.05.2026
In der chcon-Dienstprogrammkomponente von uutils coreutils besteht während rekursiver Vorgänge eine Time-of-Check to Time-of-Use (TOCTOU)-Schwachstelle. Die Implementierung löst rekursive Ziele durch eine frische Pfadsuche (über fts_accpath) auf, anstatt den Durchlauf und die Anwendung der Kennzeichnung an den spezifischen Verzeichnisstatus zu binden, der während des Durchlaufs festgestellt wird. Da diese Operationen nicht an Dateideskriptoren gebunden sind, kann ein lokaler Angreifer mit Schreibzugriff auf einen Verzeichnisbaum zeitkritische Rename- oder Symbolic-Link-Race-Bedingungen ausnutzen, um eine privilegierte rekursive Neukennzeichnung auf ungewollte Dateien oder Verzeichnisse umzuleiten. Diese Schwachstelle durchbricht die Hardening-Erwartungen für SELinux-Verwaltungsaufgaben und kann zur unbefugten Änderung von Sicherheitskennzeichnungen auf sensiblen Systemobjekten führen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.