Katalog podatności CVE

W systemach iOS i iPadOS występował problem z rejestrowaniem danych, który powodował, że powiadomienia oznaczone do usunięcia mogły być nieoczekiwanie zachowywane na urządzeniu. Apple rozwiązał tę kwestię poprzez lepsze redagowanie danych w wersjach iOS 15.8.8, 16.7.16, 18.7.8, 26.4.2 oraz iPadOS 15.8.8, 16.7.16, 17.7.11, 18.7.8 i 26.4.2.

Błąd logiczny w narzędziu cut z uutils coreutils powoduje, że program błędnie interpretuje dwubajtowy ciąg '' (dwa apostrofy) jako pusty separator. Implementacja omyłkowo mapuje ten ciąg na znak NUL dla opcji -d i --output-delimiter. Może to prowadzić do cichego uszkodzenia danych lub błędów logicznych w skryptach i potokach przetwarzania danych.

W narzędziu chcon z uutils coreutils występuje podatność TOCTOU podczas operacji rekurencyjnych. Implementacja rozwiązuje cele rekurencyjne przez świeże wyszukiwanie ścieżki (fts_accpath) zamiast powiązania przejścia i nadawania etykiety z konkretnym stanem katalogu napotkanym podczas przejścia; ponieważ operacje nie są zakotwiczone w deskryptorach plików, lokalny atakujący z prawem zapisu do drzewa katalogów może wykorzystać wyścigi rename lub symlinków, aby przekierować uprzywilejowaną operację ponownego etykietowania na niepożądane pliki lub katalogi. Podatność łamie oczekiwania hardeningu dla przepływów administracji SELinux i może prowadzić do nieautoryzowanej modyfikacji etykiet bezpieczeństwa na wrażliwych obiektach systemowych.

Luka typu Time-of-Check to Time-of-Use (TOCTOU) w narzędziu split z uutils coreutils. Program sprawdza tożsamość plików wejściowego i wyjściowego na podstawie ścieżek przed operacją, a następnie otwiera plik wyjściowy z obcięciem po walidacji, co pozwala lokalnemu atakującemu z prawem zapisu do katalogu na podmianę ścieżki (np. na dowiązanie symboliczne) i spowodowanie obcięcia oraz zapisu do nieoczekiwanego pliku, w tym samego pliku wejściowego lub innych wrażliwych plików, prowadząc do trwałej utraty danych.

Błąd logiczny w narzędziu ln z uutils coreutils powoduje, że narzędzie dereferencjonuje cel dowiązania symbolicznego nawet przy jawnie podanej fladze --no-dereference (lub -n). Implementacja respektowała intencję „no-dereference” tylko wtedy, gdy włączony był również tryb --force. Wada powoduje, że ln podąża za dowiązaniem wskazującym na katalog i tworzy nowe dowiązania wewnątrz tego katalogu docelowego, zamiast traktować samo dowiązanie jako cel. W środowiskach, gdzie uprzywilejowany użytkownik lub skrypt systemowy używa ln -n do aktualizacji dowiązania, lokalny atakujący może manipulować istniejącymi dowiązaniami, przekierowując tworzenie plików do wrażliwych katalogów.

Narzędzie id z uutils coreutils błędnie oblicza sekcję groups= w swoim wyjściu, używając rzeczywistego GID użytkownika zamiast efektywnego GID do wyliczenia listy grup. Może to prowadzić do rozbieżności w stosunku do GNU coreutils, a ponieważ wiele skryptów i procesów automatycznych opiera decyzje kontroli dostępu lub uprawnień na wyjściu id, rozbieżność ta może skutkować nieautoryzowanym dostępem lub błędami konfiguracji bezpieczeństwa.

Błąd parsowania argumentów w narzędziu kill z uutils coreutils błędnie interpretuje kill -1 jako żądanie wysłania domyślnego sygnału (SIGTERM) do PID -1. Wysłanie sygnału do PID -1 powoduje, że jądro kończy wszystkie procesy widoczne dla wywołującego, co może doprowadzić do awarii systemu lub masowego zakończenia procesów.

Narzędzie printenv w uutils coreutils nie wyświetla zmiennych środowiskowych zawierających nieprawidłowe sekwencje bajtów UTF-8. Implementacja po cichu pomija takie wpisy zamiast wypisywać surowe bajty, co pozwala złośliwym zmiennym środowiskowym (np. spreparowanym wartościom LD_PRELOAD) uniknąć inspekcji.

Narzędzie mv w uutils coreutils nieprawidłowo obsługuje drzewa katalogów zawierające dowiązania symboliczne podczas przenoszenia między systemami plików. Zamiast zachować dowiązania, implementacja je rozwija, kopiując cele dowiązań jako rzeczywiste pliki lub katalogi w miejscu docelowym. Może to prowadzić do wyczerpania zasobów, nieoczekiwanego powielenia danych lub nieskończonej rekurencji przy pętlach dowiązań.

W narzędziu mv z uutils coreutils występuje warunek wyścigu TOCTOU podczas operacji między urządzeniami. Narzędzie usuwa ścieżkę docelową przed jej odtworzeniem, co lokalny atakujący z prawem zapisu może wykorzystać do podstawienia dowiązania symbolicznego i nadpisania dowolnego pliku.

Narzędzie rm w uutils coreutils pozwala obejść zabezpieczenia chroniące bieżący katalog. Mimo że poprawnie odmawia usunięcia . lub .., nie rozpoznaje równoważnych ścieżek z ukośnikami na końcu (np. ./ lub .///), co przy wykonaniu rm -rf ./ powoduje ciche rekurencyjne usunięcie całej zawartości katalogu.

Narzędzie touch w uutils coreutils jest podatne na warunek wyścigu TOCTOU podczas tworzenia plików. Gdy narzędzie wykryje brakującą ścieżkę, później próbuje utworzyć plik za pomocą File::create(), które wewnętrznie używa O_TRUNC. Atakujący może wykorzystać to okno do utworzenia pliku lub podmiany dowiązania symbolicznego w docelowej ścieżce, powodując obcięcie istniejącego pliku i trwałą utratę danych.

W narzędziu cp z uutils coreutils występuje podatność Time-of-Check to Time-of-Use (TOCTOU), która pozwala atakującemu obejść intencję braku dereferencji. Narzędzie sprawdza, czy ścieżka źródłowa jest dowiązaniem symbolicznym, używając metadanych opartych na ścieżce, ale następnie otwiera ją bez flagi O_NOFOLLOW. Atakujący z równoczesnym dostępem do zapisu może podmienić zwykły plik na dowiązanie symboliczne w tym oknie czasowym, powodując skopiowanie zawartości dowolnych poufnych plików przez uprzywilejowany proces cp do miejsca kontrolowanego przez atakującego.

Narzędzie cp w uutils coreutils przy kopiowaniu rekurencyjnym (-R) błędnie traktuje węzły urządzeń znakowych i blokowych jako źródła strumieniowe zamiast je zachowywać. Ponieważ implementacja wczytuje bajty do zwykłych plików w miejscu docelowym zamiast używać mknod, semantyka urządzeń zostaje zniszczona (np. /dev/null staje się zwykłym plikiem), co może prowadzić do odmowy usługi przez wyczerpanie dysku lub zawieszenie procesu.

Narzędzie cp z uutils coreutils jest podatne na wyścig prowadzący do ujawnienia informacji. Pliki docelowe są początkowo tworzone z uprawnieniami wynikającymi z umask, a dopiero później zawężane do docelowego trybu, co pozwala lokalnemu atakującemu przechwycić deskryptor pliku.

W narzędziu install z uutils coreutils podczas używania flagi -D występuje podatność TOCTOU. Polecenie tworzy katalogi nadrzędne, a następnie wykonuje drugie rozwiązywanie ścieżki w celu utworzenia pliku docelowego — żadna z tych operacji nie jest zakotwiczona w deskryptorze katalogu. Atakujący z równoczesnym prawem zapisu może zastąpić komponent ścieżki dowiązaniem symbolicznym między tymi operacjami, przekierowując uprzywilejowany zapis do dowolnej lokalizacji w systemie plików.

Narzędzie instalacyjne w uutils coreutils jest podatne na warunek wyścigu Time-of-Check to Time-of-Use (TOCTOU) podczas instalacji plików. Implementacja usuwa istniejący plik docelowy i tworzy go ponownie bez flagi O_EXCL, co pozwala lokalnemu atakującemu podmienić ścieżkę na dowiązanie symboliczne i przekierować uprzywilejowane zapisy do dowolnych plików systemowych.

W narzędziu mv z uutils coreutils podczas przenoszenia między urządzeniami występuje podatność TOCTOU. Logika zachowywania rozszerzonych atrybutów (xattr) używa wielu wywołań systemowych opartych na ścieżkach, które wykonują świeże wyszukiwanie ścieżki do inode dla każdej operacji. Lokalny atakujący z prawem zapisu do katalogu może wykorzystać ten wyścig do podmiany plików między wywołaniami, powodując, że plik docelowy otrzyma niespójną mieszankę atrybutów bezpieczeństwa xattr, takich jak etykiety SELinux lub uprawnienia plików.

Narzędzie mv z uutils coreutils nie zachowuje własności plików podczas przenoszenia między różnymi systemami plików. Narzędzie przechodzi na procedurę kopiowania i usuwania, która tworzy plik docelowy z UID/GID wywołującego zamiast metadanych źródła. Wada ta psuje kopie zapasowe i migracje, powodując, że pliki przenoszone przez uprzywilejowanego użytkownika (np. root) stają się nieoczekiwanie własnością roota, co może prowadzić do ujawnienia informacji lub ograniczenia dostępu dla zamierzonych właścicieli.

Narzędzie cp z uutils coreutils nieprawidłowo obsługuje bity setuid i setgid, gdy zachowanie własności się nie powiedzie. Podczas kopiowania z flagą -p (preserve) narzędzie stosuje bity trybu źródła nawet jeśli operacja chown się nie powiedzie. Może to spowodować, że kopia należąca do użytkownika zachowa oryginalne uprzywilejowane bity, tworząc nieoczekiwane uprzywilejowane pliki wykonywalne naruszające lokalne polityki bezpieczeństwa. Różni się to od GNU cp, który czyści te bity, gdy nie można zachować własności.