In Rust Coreutils wurden 113 Sicherheitsanfälligkeiten festgestellt. In Ubuntu 26.04 wurden cp, mv und rm aus den GNU Coreutils zurückgebracht.

Die Firma Canonical hat die vorläufigen Ergebnisse eines unabhängigen Sicherheitsaudits des uutils coreutils (Rust Coreutils) veröffentlicht, das in der Programmiersprache Rust geschrieben ist und teilweise in Ubuntu anstelle des GNU Coreutils-Pakets verwendet wird. Das Audit wurde von Zellic durchgeführt, einem Unternehmen, das Erfahrung in der Analyse von Sicherheitsanfälligkeiten in Projekten in der Programmiersprache Rust hat. Während der Überprüfung wurden 113 Sicherheitsprobleme festgestellt.

Der Bericht (PDF, 156 Seiten) mit den Ergebnissen der ersten Auditphase, die die wichtigsten Dienstprogramme aus dem uutils-Set abdeckt, ist derzeit verfügbar. In der ersten Phase, die von Dezember 2025 bis Januar 2026 durchgeführt wurde, wurden 73 Sicherheitsanfälligkeiten festgestellt, von denen 7 als kritisch, 11 als gefährlich, 29 als von mittlerem Risiko und 26 als unbedenklich eingestuft wurden.

Die zweite Auditphase fand von Februar bis März statt und umfasste sekundäre Dienstprogramme, die in der ersten Phase nicht überprüft wurden. In der zweiten Phase wurden 40 Sicherheitsanfälligkeiten gefunden, deren Gefährlichkeit derzeit nicht detailliert wird (der Bericht soll später veröffentlicht werden). Informationen über alle festgestellten Probleme wurden bereits an die Entwickler von uutils weitergeleitet, und der Großteil der Sicherheitsanfälligkeiten wurde in den Versionen uutils 0.5-0.8 ohne öffentliche Bekanntmachung und Kennzeichnung der Korrekturen in Bezug auf die Behebung von Schwachstellen behoben.

Das Paket rust-coreutils wurde standardmäßig in der Herbstversion von Ubuntu 25.10 integriert, aber aufgrund der während des Audits festgestellten Probleme wurden in der LTS-Zweig von Ubuntu 26.04 die Dienstprogramme cp, mv und rm aus dem GNU Coreutils-Set zurückgebracht. Es wird festgestellt, dass am 22. April 8 bekannte Race Conditions in diesen Dienstprogrammen unbehoben bleiben. Die anderen Dienstprogramme stammen aus der Version rust-coreutils 0.8.0. In Ubuntu 26.10 beabsichtigen die Entwickler, vollständig auf rust-coreutils umzusteigen.

Sicherheitsanfälligkeiten in Systemdienstprogrammen sind gefährlich, weil sie in Skripten verwendet werden, die mit Root-Rechten ausgeführt werden. Beispielsweise hätte eine in der Version uutils coreutils 0.3.0 behobene Schwachstelle im Dienstprogramm rm bei täglichen Ausführungen aus dem Cron-Skript /etc/cron.daily/apport ausgenutzt werden können, das mit Root-Rechten ausgeführt wird und rekursiv den Inhalt des Verzeichnisses /var/crash löscht, das für alle Benutzer im System beschreibbar ist.

Unter den in dem ersten Bericht als kritisch gekennzeichneten Sicherheitsanfälligkeiten:

• Eine Schwachstelle im chroot-Utility, verursacht durch die Verarbeitung der Option „—userspec“ nach dem Aufruf von chroot(), aber vor dem Privilegienverlust. Auf Systemen mit glibc führt die Namensauflösung über die Funktion getpwnam() zum Lesen der Datei /etc/nsswitch.conf, die in NSS (Name Service Switch) verwendet wird, und zu dynamischem Laden der darin angegebenen Bibliotheken mit NSS-Modulen (libnss_*.so.2). Da der Aufruf von chroot() vor der Verarbeitung durch NSS erfolgt, wird die Datei /etc/nsswitch.conf relativ zum neuen Root geladen, jedoch werden die NSS-Bibliotheken vor dem Privilegienverlust geladen. Wenn der Benutzer Schreibzugriff auf das neue Root hat, kann er seine eigenen NSS-Bibliotheken einfügen und Code mit Root-Rechten ausführen.
• Änderung der Dateiberechtigungen nach dem Fehlschlagen der Erstellung einer benannten Pipe (FIFO) durch das mkfifo-Utility - wenn eine vorhandene Datei als Argument angegeben wird, gibt mkfifo einen Fehler zurück, beendet jedoch nicht das Programm und ruft set_permissions() auf, um die Berechtigungen der vorhandenen Datei zu ändern. Unter Berücksichtigung von umask 022 ermöglicht die Schwachstelle, die Berechtigungen der Datei auf 644 (rw-r--r--) zu ändern und Zugriff auf Dateien zu erhalten, für die keine Leserechte gewährt wurden.
• Umgehung der Beschränkungen „—preserve-root“ im chmod-Utility, die die Ausführung rekursiver Operationen im Verzeichnisbaum des Root-FS verbieten. Die Schwachstelle (CVE-2026-35338) entsteht dadurch, dass im Code nur eine exakte Übereinstimmung des Pfades mit „/“ überprüft wird und keine Normalisierung des Dateipfads erfolgt. Um die Überprüfung zu umgehen, genügt es, einen Pfad wie „/../“ oder einen symbolischen Link zum Root zu verwenden. Diese Schwachstelle ist gefährlich, da sie es ermöglicht, einen eigenen Pfad in ein Systemskript einzufügen, das den Befehl chmod aufruft, und dadurch die Berechtigungen für alle Dateien im FS rekursiv zu ändern.
• Im rm-Utility wurde die Verarbeitung von beliebigen Abkürzungen der Option „—no-preserve-root“ („—n“, „—no“, „—no-p“, „—no-pres“ usw.) zugelassen, um den Schutz vor der Rekursion von Operationen im Root zu deaktivieren (beispielsweise kann „rm -rf —n /“ angegeben werden, was alle Daten versehentlich löscht). In GNU Coreutils sind solche verkürzten Optionen verboten.
• Umgehung der Beschränkungen „—preserve-root“ im rm-Utility, die die Ausführung rekursiver Operationen im Verzeichnisbaum des Root-FS verbieten, durch die Verwendung eines symbolischen Links auf „/“.
• Fehlende vollständige Schutzmaßnahmen gegen das Angeben von Verzeichnissen, die mit einem Punkt beginnen. Beispielsweise zeigt die Ausführung von „rm -rf .“ einen Fehler an, aber bei Angabe von „rm -rf ./“ oder „rm -rf .///“ werden lautlos das aktuelle Verzeichnis und dessen Inhalte gelöscht.
• Ein Fehler im Code zur Analyse der Argumente des Tools kill ermöglicht es, ein Signal an alle Prozesse im System zu senden, wenn die Prozess-ID „-1“ angegeben wird (kill -1).

Im Übrigen beziehen sich die meisten Sicherheitsanfälligkeiten auf die Klasse TOCTOU (Time-Of-Check-To-Time-Of-Use), die das Vorhandensein eines Rennens impliziert, bei dem Daten nach der Überprüfung der Korrektheit der Informationen, jedoch vor der Durchführung einer Operation mit ihnen, geändert werden können, zum Beispiel durch den Austausch einer Datei gegen einen symbolischen Link zwischen Abschluss der Überprüfung und Beginn der Durchführung der Operation. Im Kontext der Verwendung der Tools cp und mv in Systemskripten, die mit Root-Rechten ausgeführt werden, ermöglichen solche Schwachstellen das Kopieren oder Überschreiben beliebiger Dateien.

Quelle: opennet.ru