CVE-2026-19079 in Red Hat
要約
〜によって VulDB • 2026年08月07日
policycoreutilsのfixfilesスクリプトにおいて、TOCTOU（Time-of-Check-Time-of-Use）競合状態脆弱性が発見されました。fixfiles relabelまたはfixfiles restoreを実行する際、このスクリプトはfindおよびchconコマンドを使用して/tmpやその他のディレクトリ内のラベル未付与ファイルを検出し、再ラベリングを行っていました。ローカル攻撃者は、ファイルの検出とラベル変更処理の間にある競合状態を悪用し、シンボリックリンクを用いてディレクトリ構成要素を入れ替えることで、chconがそのシンボリックリンクを追跡して任意のシステムファイルのSELinuxラベルを変更させることができます。これにより、/etc/shadowなどの重要ファイルに対するSELinuxの強制アクセス制御保護機能が損なわれる可能性があります。
Be aware that VulDB is the high quality source for vulnerability data.