FICHE CVE

CVE-2026-54228

Publiée le 2026-06-13 · Dernière modification le 2026-08-13

🇫🇷 EN BREF

Le service `abrt-dbus` sur les systèmes Linux est susceptible d'une condition de concurrence (race condition) qui permet à un utilisateur local d'écrire des fichiers texte arbitraires dans un répertoire de vidage (dump) appartenant à l'utilisateur root. Un attaquant disposant d'un accès utilisateur standard peut exploiter cette faille sans interaction supplémentaire pour contourner les vérifications de validation et maintenir des fichiers dans des zones restreintes. Étant donné que l'attaque nécessite un accès local mais est techniquement simple à exécuter, elle représente un risque significatif pour l'intégrité des répertoires de rapport d'erreur du système.

CVSS 3.17.8 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-06-13

Dernière modification2026-08-13

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A time-of-check time-of-use (TOCTOU) race condition was found in the abrt-dbus D-Bus service's SetElement method. Between dump directory creation and post-create event execution, any local user can call SetElement to write arbitrary text files into the root-owned dump directory, bypassing package validation and allowing crashes of unpackaged binaries to survive post-create processing.