CVE-2026-35352
Publiée le 2026-04-22 · Dernière modification le 2026-10-26
Les utilisateurs de `uutils coreutils` sont concernés s'ils utilisent l'utilitaire `mkfifo`. Un attaquant local disposant d'un accès en écriture au répertoire parent peut exploiter une condition de concurrence (race condition) pour inciter l'utilitaire à modifier les permissions d'un fichier arbitraire, ce qui pourrait conduire à une élévation complète des privilèges du système si `mkfifo` est exécuté en tant que root. Cette attaque est difficile à mettre en œuvre car elle nécessite un timing précis et un accès local au système de fichiers, mais aucune interaction de l'utilisateur n'est requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A Time-of-Check to Time-of-Use (TOCTOU) race condition exists in the mkfifo utility of uutils coreutils. The utility creates a FIFO and then performs a path-based chmod to set permissions. A local attacker with write access to the parent directory can swap the newly created FIFO for a symbolic link between these two operations. This redirects the chmod call to an arbitrary file, potentially enabling privilege escalation if the utility is run with elevated privileges.