Rust Coreutilites avastati 113 haavatavust. Ubuntu 26.04 on tagasi tootud cp, mv ja rm GNU Coreutilsist.

Ettevõte Canonical avaldas eelnevad tulemused uutils coreutils (Rust Coreutils) turvaauditi kohta, mis on kirjutatud programmis Rust ja osaliselt kasutusel Ubuntu süsteemis GNU Coreutils paketi asemel. Auditi viis läbi Zellic, kes omab kogemusi turvaaukude analüüsimisel Rusti projektides. Kontrollimise käigus tuvastati 113 turvaprobleemi.

Praegu on juba saadaval aruande (PDF, 156 lehekülge) tulemused esimese auditi etapi kohta, mis katab kõige olulisemad uutils tööriistad. Esimene etapp, mis viidi läbi detsembrist 2025 jaanuarini 2026, tuvastas 73 turvaauku, millest 7 on märgitud kriitiliseks, 11 ohtlikuks, 29 mõõdukaks ohuks ja 26 mitteohtlikuks.

Teine auditi etapp viidi läbi veebruarist märtsini ja katab teisejärgulised tööriistad, mida esimeses etapis ei kontrollitud. Teisel etapil leiti 40 turvaauku, mille ohtlikkust ei ole veel detailselt kirjeldatud (aruande avaldamine on planeeritud hiljem). Teave kõigist tuvastatud probleemidest on juba edastatud uutils arendajatele ja enamik turvaaukudest on kõrvaldatud uutils 0.5-0.8 versioonides ilma liigse tähelepanuta ja paranduste seose märkimiseta tuvastatud turvaaukudega.

Pakett rust-coreutils lisati vaikesätetena Ubuntu sügisesse väljaandes 25.10, kuid arvestades auditi käigus tuvastatud probleeme, on LTS haru Ubuntu 26.04-s tagasi toodud tööriistad cp, mv ja rm GNU Coreutils komplektist. Märgitakse, et 22. aprilli seisuga jääb nendes tööriistades 8 tuntud võidusõidutingimust parandamata. Ülejäänud tööriistad on seotud rust-coreutils 0.8.0 väljaandega. Ubuntu 26.10-s kavatsevad arendajad täielikult üle minna rust-coreutils-ile.

Süsteemi tööriistade turvaaugud on ohtlikud, kuna neid kasutatakse root õigustega käivitatavates skriptides. Näiteks väljaandes uutils coreutils 0.3.0 kõrvaldatud turvaauk rm tööriistas võidi kasutada igapäevaste käivituste käigus cron skriptist /etc/cron.daily/apport, mis toimub root õigustes ja rekursiivselt kustutab kausta /var/crash sisu, mis on kirjutamiseks avatud kõigile süsteemi kasutajatele.

Esimese aruande kriitiliseks märgitud turvaaukude seas:

• Chroot utiliidi nõrk koht, mis on põhjustatud parameetri „—userspec” töötlemisest pärast chroot() kutsumist, kuid enne õiguste tühistamist. Glibc süsteemides nime lahendamine getpwnam() funktsiooni kaudu toob kaasa faili /etc/nsswitch.conf lugemise, mida rakendatakse NSS (Nimi Teenuse Lüliti) kaudu, ja seal määratletud teekide dünaamilise laadimise NSS moodulitega (libnss_*.so.2). Kuna enne NSS-i töötlemist kutsutakse chroot() faili /etc/nsswitch.conf laaditakse suhtes uue juure alla, kuid NSS-teegid laaditakse enne õiguste tühistamist. Kui kasutajal on kirjutamisõigus uuele juurele, võib ta sisestada oma NSS-teegid ja saavutada koodi täitmise root-õigustega.
• Faili juurdepääsuõiguste muutmine nimega toru (FIFO) loomise tõrke korral mkfifo utiliidis — kui olemasolev fail on argumendina antud, tagastab mkfifo vea, kuid ei lõpetada tõrget, vaid kutsub set_permissions() ja muudab olemasoleva faili juurdepääsuõigusi. Arvestades umask 022, võimaldab nõrk koht muuta faili juurdepääsuõigusi 644 (rw-r--r--) ja pääse juurde failidele, mille lugemine polnud lubatud.
• Utiliidi chmod „—preserve-root” piirangute mööda hiilimine, mis keelavad rekursiivsed toimingud failisüsteemi juure suhtes. Nõrk koht (CVE-2026-35338) tuleneb sellest, et koodis kontrolliti ainult täpset vastavust teele „/” ja failitee kanoniseerimist ei tehtud. Kontrolli mööda hiilimiseks piisab tee kasutamisest kujul „/../” või sümboolset linki juurele. Nõrk koht on ohtlik sellega, et süsteemiskripti, mis kutsub chmod käsku, sisse oma tee sisestamine võimaldab rekursiivset juurdepääsu õiguslikku muutmist kõigile failidele failisüsteemis.
• Utiliidis rm lubati mis tahes lühendite töötlemine valikust „—no-preserve-root” („—n”, „—no”, „—no-p”, „—no-pres” jne) rekursiivse toimingu keeldumise väljalülitamiseks juurega (nt võib olla antud „rm -rf —n /” ja kogemata kustutada kõik andmed. GNU Coreutils-s sarnased lühendatud valikud on keelatud.
• Utiliidi rm „—preserve-root” piirangute mööda hiilimine, mis keelab rekursiivsed toimingud failisüsteemi juure suhtes, sümboolse lingi asenduse kaudu „/”.
• Puuduliku kaitse tõttu kataloogide osas, mis algavad punktiga. Näiteks, kui käivitada „rm -rf .”, anname utiliidile vea, kuid „rm -rf ./” või „rm -rf .///” puhul kustutab see vaikselt praeguse katalooge.
• Käskluse kill parameetrite analüüsi viga võimaldab saata signaali kõigile süsteemi protsessidele, kui protsessi ID on «-1» (kill -1).

Muude osas kuuluvad enamik haavatavusi TOCTOU (Time-Of-Check-To-Time-Of-Use) klassi, mis tähendab oleku võistluse olemasolu, mis võimaldab andmeid muuta info kehtivuse kontrollimise järgsel ajal, kuid enne nende kasutamiseks mõeldud toimingu täitmist, näiteks vahetada fail sümboolse lingiga kontrollimise lõpetamise ja toimingu alustamise vahel. Root õigustega käivitatud süsteemiskripte kasutades, võimaldavad sellised haavatavused kopeerida või üle kirjutada suvalisi faile.

Allikas: opennet.ru