Es wurden 113 Sicherheitsanfälligkeiten in Rust Coreutils festgestellt. In Ubuntu 26.04 wurden cp, mv und rm aus den GNU Coreutils zurückgebracht.

Das Unternehmen Canonical hat die vorläufigen Ergebnisse des unabhängigen Sicherheitsaudits des uutils coreutils-Tools (Rust Coreutils), das in Rust geschrieben und teilweise anstelle des GNU Coreutils-Pakets in Ubuntu verwendet wird, veröffentlicht. Das Audit wurde von der Firma Zellic durchgeführt, die Erfahrung in der Analyse von Schwachstellen in Projekten mit der Programmiersprache Rust hat. Bei der Überprüfung wurden 113 Sicherheitsprobleme identifiziert.

Der Bericht (PDF, 156 Seiten) mit den Ergebnissen der ersten Phase des Audits, die die wichtigsten Dienstprogramme des uutils-Sets abdeckt, ist inzwischen verfügbar. In der ersten Phase, die von Dezember 2025 bis Januar 2026 durchgeführt wurde, wurden 73 Schwachstellen identifiziert, darunter 7 als kritisch, 11 als gefährlich, 29 als von mittlerer Gefahr und 26 als unbedenklich.

Die zweite Phase des Audits fand von Februar bis März statt und umfasste sekundäre Tools, die in der ersten Phase nicht überprüft wurden. In der zweiten Phase wurden 40 Schwachstellen gefunden, deren Gefährlichkeit derzeit noch nicht detailliert dargestellt wird (der Bericht soll später veröffentlicht werden). Informationen zu allen identifizierten Problemen wurden bereits an die Entwickler von uutils weitergegeben, und der Großteil der Schwachstellen wurde in den Versionen uutils 0.5-0.8 ohne zusätzliche Bekanntmachung und ohne Hinweis auf den Zusammenhang zwischen den vorgenommenen Korrekturen und der Beseitigung der Schwachstellen behoben.

Das Paket rust-coreutils wurde standardmäßig in der Herbstversion von Ubuntu 25.10 integriert, aber im Hinblick auf die während des Audits identifizierten Probleme in der LTS-Zweig von Ubuntu 26.04 wurden die Tools cp, mv und rm aus dem Paket GNU Coreutils zurückgebracht. Es wird darauf hingewiesen, dass am 22. April in diesen Tools noch 8 bekannte Race Conditions nicht behoben sind. Die anderen Tools stammen aus der Version rust-coreutils 0.8.0. In Ubuntu 26.10 planen die Entwickler, vollständig auf rust-coreutils umzusteigen.

Schwächen in System-Utilities sind gefährlich, da sie in Skripten verwendet werden, die mit Root-Rechten ausgeführt werden. Zum Beispiel konnte eine in der Version uutils coreutils 0.3.0 behobene Schwäche in der rm-Utility ausgenutzt werden, wenn sie täglich über das Cron-Skript /etc/cron.daily/apport ausgeführt wird, das mit Root-Rechten läuft und rekursiv den Inhalt des Verzeichnisses /var/crash löscht, das für alle Benutzer im System schreibbar ist.

Zu den im ersten Bericht als kritisch eingestuften Schwächen gehören:

• Eine Schwäche in der chroot-Utility, die durch die Verarbeitung der Option „—userspec“ nach dem Aufruf von chroot() und vor dem Zurücksetzen der Berechtigungen verursacht wird. Auf Systemen mit glibc führt die Namensauflösung über die Funktion getpwnam() zum Lesen der Datei /etc/nsswitch.conf, die im NSS (Name Service Switch) verwendet wird, und zum dynamischen Laden der dort angegebenen Bibliotheken mit NSS-Modulen (libnss_*.so.2). Da der chroot()-Aufruf vor der Verarbeitung des NSS erfolgt, wird die Datei /etc/nsswitch.conf relativ zum neuen Root geladen, während die NSS-Bibliotheken vor dem Zurücksetzen der Berechtigungen geladen werden. Wenn ein Benutzer Schreibzugriff auf den neuen Root hat, kann er seine eigenen NSS-Bibliotheken einschleusen und die Ausführung von Code mit Root-Rechten erreichen.
• Ändern der Dateiberechtigungen nach einem Fehler bei der Erstellung eines benannten Kanals (FIFO) mit dem mkfifo-Tool – wenn eine vorhandene Datei als Argument angegeben wird, gibt mkfifo einen Fehler zurück, beendet jedoch nicht abrupt, sondern führt den Aufruf von set_permissions() aus und ändert die Berechtigungen der vorhandenen Datei. Unter Berücksichtigung von umask 022 ermöglicht die Schwachstelle, die Berechtigungen der Datei auf 644 (rw-r--r--) zu ändern und auf Dateien zuzugreifen, für die kein Lesezugriff erlaubt war.
• Umgehung der Beschränkungen „—preserve-root“ im chmod-Tool, die rekursive Operationen in Bezug auf den Wurzelverzeichnis der FS verbieten. Die Schwachstelle (CVE-2026-35338) ergibt sich daraus, dass im Code nur eine exakte Übereinstimmung des Pfades mit „/“ überprüft wurde und keine Kanonisierung des Dateipfades stattgefunden hat. Um die Überprüfung zu umgehen, reicht es aus, einen Pfad wie „/../“ oder einen symbolischen Link zum Wurzelverzeichnis zu verwenden. Die Schwachstelle ist gefährlich, da es möglich ist, seinen eigenen Pfad in ein Systemskript einzufügen, das den Befehl chmod aufruft, was zu einer rekursiven Änderung der Berechtigungen für alle Dateien im FS führen kann.
• In der rm-Utility war die Verarbeitung beliebiger Abkürzungen der Option „—no-preserve-root“ („—n“, „—no“, „—no-p“, „—no-pres“ usw.) zulässig, um den Schutz vor der Ausführung rekursiver Operationen mit dem Root-Verzeichnis zu deaktivieren (z. B. könnte man „rm -rf —n /“ angeben und versehentlich alle Daten löschen. In GNU Coreutils sind solche abgekürzten Optionen jedoch verboten.
• Umgehung der Einschränkungen „—preserve-root“ in der rm-Utility, die rekursive Operationen bezüglich des Wurzelverzeichnisses der FS verhindern, durch Ersetzung eines symbolischen Links auf „/“.
• Fehlende vollständige Schutzmaßnahmen gegen die Angabe von Verzeichnissen, die mit einem Punkt beginnen. Beispielsweise gibt die Utility bei der Ausführung von „rm -rf .“ einen Fehler aus, aber bei Angabe von „rm -rf ./“ oder „rm -rf .///“ löscht sie stillschweigend das aktuelle Verzeichnis.
• Ein Fehler im Argumentparser der Utility kill ermöglicht das Senden eines Signals an alle Prozesse im System, wenn die Prozess-ID „-1“ angegeben wird (kill -1).

Im Übrigen gehören die meisten Schwachstellen zur TOCTOU-Klasse (Time-Of-Check-To-Time-Of-Use), was bedeutet, dass es zu einer Race Condition kommen kann, die es ermöglicht, Daten zwischen der Validierung der Informationen und der Durchführung der Operation zu ändern. Beispielsweise kann eine Datei in der Zeit zwischen dem Abschluss der Überprüfung und dem Beginn der Ausführung durch einen symbolischen Link ersetzt werden. Im Kontext der Verwendung der Tools cp und mv in Systemskripten, die mit Root-Rechten ausgeführt werden, ermöglichen solche Schwachstellen das Kopieren oder Überschreiben beliebiger Dateien.

Quelle: opennet.ru