CVE-2026-77059 in boneIO
要約
〜によって VulDB • 2026年10月26日
boneIO Blackの boneio/webui/routes/timezone_sudoers.py 内の create_timedatectl_sudoers_file() 関数には、TOCTOU race condition が存在します。この関数は sudoers ルールを予測可能な一時ファイルに書き込み、それらを検証した後に root 権限でインストールします。ローカル攻撃者は、検証とインストールの間の race window を悪用して不正なコンテンツに置き換えるか、予測可能なファイル名を用いた symlink attack を行うことで、任意の sudoers ルールのインジェクトおよびルートへのローカル特権昇格を招きます。
この問題はバージョン 1.6.0 で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.