Բաշխման փաթեթների տվյալների բազայում Ubuntu 26.10 տարբերակը, որը նախատեսված է թողարկել հոկտեմբերի 15-ին, նշում է Rust լեզվով գրված uutils coreutils (Rust Coreutils) գործիքակազմին ամբողջական անցում: Rust Coreutils ծրագրակազմերը ամբողջությամբ փոխարինել են GNU Coreutils փաթեթի բոլոր բաղադրիչները, ներառյալ cp, mv և rm ծրագրակազմերը, որոնք Ubuntu 26.04-ը մատակարարվել է GNU Coreutils-ի տարբերակով։
rust-coreutils փաթեթը սկզբնապես ներառված էր թողարկման մեջ լռելյայնորեն։ Ubuntu 25.10, բայց LTS մասնաճյուղում Ubuntu Ապրիլի 26.04-ին GNU Coreutils փաթեթի cp, mv և rm կոմունալ ծրագրերը չեղարկվեցին։ Այս տարբերակները չեղարկվեցին Rust Coreutils կոդային բազայի աուդիտի ընթացքում հայտնաբերված անվտանգության խնդիրների պատճառով։ Rust Coreutils-ի խոցելիությունների մեծ մասը պայմանավորված է մրցավազքի պայմաններով, որոնք թույլ են տալիս փոփոխել տվյալները տեղեկատվության ստուգումից հետո, բայց գործողության կատարումից առաջ (TOCTOU — Time-Of-Check-To-Time-Of-Use): Ի թիվս այլ բաների, նման խոցելիությունները թույլ են տալիս ֆայլը փոխարինել ստուգման ավարտի և գործողության մեկնարկի միջև խորհրդանշական կապով։
Երբ cp, mv և rm ծրագրերը օգտագործվում են root արտոնություններով աշխատող համակարգային սկրիպտներում, խորհրդանշական հղման փոխարինումը թույլ է տալիս պատճենել, վերագրել կամ ջնջել կամայական ֆայլերը: Օրինակ, երբ ռեկուրսիվ կերպով ջնջվում են գրացուցակներ, rm ծրագիրը նախ սկանավորում է բոլոր գրացուցակները, ապա հաջորդաբար ջնջում դրանք հակառակ հերթականությամբ՝ կանչելով rmdir() ֆունկցիան: Այդ գրացուցակը սկանավորելուց անմիջապես հետո, բայց դրա դուստր գրացուցակները սկանավորելուց առաջ, ծնող գրացուցակի համար խորհրդանշական հղում տեղադրելով, դուք կարող եք ջնջել համակարգի ցանկացած գրացուցակ, երբ /etc/cron.daily/apport cron սկրիպտը ամեն օր գործարկվում է: Root-ի կարգավիճակում աշխատելիս սկրիպտը ռեկուրսիվ կերպով ջնջում է /var/crash գրացուցակի պարունակությունը, որը կարող են գրել համակարգի բոլոր օգտատերերը:
Source: opennet.ru
