{"id":169899,"date":"2026-04-24T18:24:34","date_gmt":"2026-04-24T16:24:34","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-rust-coreutils-vyyavleno-113-uyazvimostej-v-ubuntu-26-04-vozvrashheny-cp-mv-i-rm-iz-gnu-coreutils"},"modified":"2026-04-24T18:24:34","modified_gmt":"2026-04-24T16:24:34","slug":"v-rust-coreutils-vyyavleno-113-uyazvimostej-v-ubuntu-26-04-vozvrashheny-cp-mv-i-rm-iz-gnu-coreutils","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/v-rust-coreutils-vyyavleno-113-uyazvimostej-v-ubuntu-26-04-vozvrashheny-cp-mv-i-rm-iz-gnu-coreutils","title":{"rendered":"Rust Coreutilites avastati 113 haavatavust. Ubuntu 26.04 on tagasi tootud cp, mv ja rm GNU Coreutilsist.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Ettev\u00f5te Canonical avaldas eelnevad tulemused uutils coreutils (Rust Coreutils) turvaauditi kohta, mis on kirjutatud programmis Rust ja osaliselt kasutusel Ubuntu s\u00fcsteemis GNU Coreutils paketi asemel. Auditi viis l\u00e4bi Zellic, kes omab kogemusi turvaaukude anal\u00fc\u00fcsimisel Rusti projektides. Kontrollimise k\u00e4igus tuvastati 113 turvaprobleemi. <\/p>\n
Praeguseks on saadaval raport (PDF, 156 lehek\u00fclge) esimese etapi auditist, mis h\u00f5lmab k\u00f5ige olulisemaid utiliite komplektist uutils. Esimene etapp, mis viidi l\u00e4bi 2025. aasta detsembrist 2026. aasta jaanuarini, tuvastas 73 haavatavust, millest 7 on m\u00e4rgitud kriitilisteks, 11 - ohtlikeks, 29 - m\u00f5\u00f5dukateks ja 26 - mitteohtlikeks. <\/p>\n
Teine auditi etapp viidi l\u00e4bi veebruarist m\u00e4rtsini ja katab teisej\u00e4rgulised t\u00f6\u00f6riistad, mida esimeses etapis ei kontrollitud. Teisel etapil leiti 40 turvaauku, mille ohtlikkust ei ole veel detailselt kirjeldatud (aruande avaldamine on planeeritud hiljem). Teave k\u00f5igist tuvastatud probleemidest on juba edastatud uutils arendajatele ja enamik turvaaukudest on k\u00f5rvaldatud uutils 0.5-0.8 versioonides ilma liigse t\u00e4helepanuta ja paranduste seose m\u00e4rkimiseta tuvastatud turvaaukudega. <\/p>\n
Pakett rust-coreutils lisati vaikes\u00e4tetena Ubuntu s\u00fcgisesse v\u00e4ljaandes 25.10, kuid arvestades auditi k\u00e4igus tuvastatud probleeme, on LTS haru Ubuntu 26.04-s tagasi toodud t\u00f6\u00f6riistad cp, mv ja rm GNU Coreutils komplektist. M\u00e4rgitakse, et 22. aprilli seisuga j\u00e4\u00e4b nendes t\u00f6\u00f6riistades 8 tuntud v\u00f5idus\u00f5idutingimust parandamata. \u00dclej\u00e4\u00e4nud t\u00f6\u00f6riistad on seotud rust-coreutils 0.8.0 v\u00e4ljaandega. Ubuntu 26.10-s kavatsevad arendajad t\u00e4ielikult \u00fcle minna rust-coreutils-ile. <\/p>\n
S\u00fcsteemi t\u00f6\u00f6riistade turvaaugud on ohtlikud, kuna neid kasutatakse root \u00f5igustega k\u00e4ivitatavates skriptides. N\u00e4iteks v\u00e4ljaandes uutils coreutils 0.3.0 k\u00f5rvaldatud turvaauk rm t\u00f6\u00f6riistas v\u00f5idi kasutada igap\u00e4evaste k\u00e4ivituste k\u00e4igus cron skriptist \/etc\/cron.daily\/apport, mis toimub root \u00f5igustes ja rekursiivselt kustutab kausta \/var\/crash sisu, mis on kirjutamiseks avatud k\u00f5igile s\u00fcsteemi kasutajatele. <\/p>\n
Esimese aruande kriitiliseks m\u00e4rgitud turvaaukude seas: <\/p>\n
\n
Haavatavus utiliidis chroot, mis on p\u00f5hjustatud valiku '\u2014userspec' t\u00f6\u00f6tlemisest p\u00e4rast chroot() v\u00e4ljakutset, kuid enne privileegide t\u00fchistamist. Glibc s\u00fcsteemides toimub nimede lahendamine funktsiooni getpwnam() kaudu, mis toob kaasa faili \/etc\/nsswitch.conf lugemise, mida rakendatakse NSS (Name Service Switch) puhul, ning d\u00fcnaamilise laadimise ajutisi NSS raamatukogusid (libnss_*.so.2). Kuna enne NSS t\u00f6\u00f6tlemist kutsutakse chroot(), laaditakse \/etc\/nsswitch.conf fail uue juurena, kuid NSS-raamatukogusid laaditakse enne privileegide t\u00fchistamist. Kui kasutajal on kirjutus\u00f5igus uuele juurele, saab ta oma NSS-raamatukogusid lisada ja k\u00e4itada koodi root \u00f5igustes.\n
File'i juurdep\u00e4\u00e4su\u00f5iguste muutmine p\u00e4rast nimekanali (FIFO) loomise t\u00f5rget utiliidiga mkfifo - kui m\u00e4\u00e4rata argumendina olemasolev fail, tagastab mkfifo vea, kuid ei katkesta t\u00f6\u00f6tamist, vaid kutsub \u00fcles set_permissions() ja muudab olemasoleva faili juurdep\u00e4\u00e4su\u00f5igusi. Arvestades umask 022, v\u00f5imaldab haavatavus muuta faili juurdep\u00e4\u00e4su\u00f5igusi 644 (rw-r--r--) ja saada juurdep\u00e4\u00e4su failidele, mille lugemine ei olnud lubatud.\n
Limitatsioonide '\u2014preserve-root' \u00fcletamine utiliidis chmod, mis keelab rekursiivsete toimingute t\u00e4itmise failis\u00fcsteemi juurena. Haavatavus (CVE-2026-35338) on p\u00f5hjustatud sellest, et koodis kontrolliti ainult t\u00e4pset vastavust tee ' \/ ' ja failitee kanoniseerimine ei toimunud. Kontrollimise v\u00e4ltimiseks piisab, kui kasutada teed nagu ' \/.. \/ ' v\u00f5i s\u00fcmboolset linki juurele. Haavatavus on ohtlik, kuna s\u00fcsteemis skripti, mis kutsub \u00fcles chmod k\u00e4sku, oma tee sisestamisel v\u00f5ib saavutada rekursiivse juurdep\u00e4\u00e4su\u00f5iguste muutmise k\u00f5igi failide jaoks failis\u00fcsteemis.\n
Rm utiliidis lubati kasutada mis tahes l\u00fchendatud valikute t\u00f6\u00f6tlemist \u2014no-preserve-root (\u2014n, \u2014no, \u2014no-p, \u2014no-pres jne) juurprotection'i keelamiseks rekursiivseks teostamiseks (n\u00e4iteks v\u00f5ib kirjutada rm -rf -n \/ ja kogemata kustutada k\u00f5ik andmed. GNU Coreutils'is on sellised l\u00fchendatud valikud keelatud.\n
Limiteerimise \u00fcmbers\u00f5it \u2014preserve-root rm utiliidis, mis keelab rekursiivseid operatsioone FS juurekillus, asendades s\u00fcmboolset linki \/.\n
T\u00e4ieliku kaitse puudumine kataloogide m\u00e4\u00e4ramise eest, mis algavad punktist. N\u00e4iteks, kui t\u00e4idetakse rm -rf ., annab utiliit veateate, kuid kui kirjutada rm -rf .\/ v\u00f5i rm -rf .\/\/\/, kustutab see vaikselt praeguse katalooge.\n
Viga kill utiliidi argumendi t\u00f5lgendamise koodis v\u00f5imaldab saata signaali k\u00f5igile s\u00fcsteemis olevatele protsessidele, kui protsessi ID on m\u00e4\u00e4ratud -1 (kill -1). <\/ul>\n
Muude osas kuuluvad enamik haavatavusi TOCTOU (Time-Of-Check-To-Time-Of-Use) klassi, mis t\u00e4hendab oleku v\u00f5istluse olemasolu, mis v\u00f5imaldab andmeid muuta info kehtivuse kontrollimise j\u00e4rgsel ajal, kuid enne nende kasutamiseks m\u00f5eldud toimingu t\u00e4itmist, n\u00e4iteks vahetada fail s\u00fcmboolse lingiga kontrollimise l\u00f5petamise ja toimingu alustamise vahel. Root \u00f5igustega k\u00e4ivitatud s\u00fcsteemiskripte kasutades, v\u00f5imaldavad sellised haavatavused kopeerida v\u00f5i \u00fcle kirjutada suvalisi faile. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"