Dalam basis data paket distribusi Ubuntu Versi 26.10, yang dijadwalkan rilis pada 15 Oktober, menandai transisi lengkap ke toolkit uutils coreutils (Rust Coreutils), yang ditulis dalam bahasa Rust. Utilitas Rust Coreutils telah sepenuhnya menggantikan semua komponen paket GNU Coreutils, termasuk utilitas cp, mv, dan rm, yang Ubuntu 26.04 disediakan dalam varian GNU Coreutils.
Paket rust-coreutils awalnya disertakan secara default dalam rilis tersebut. Ubuntu 25.10, tetapi di cabang LTS Ubuntu Pada tanggal 26.04 April, utilitas cp, mv, dan rm dari rangkaian GNU Coreutils dikembalikan ke versi sebelumnya. Opsi-opsi ini dikembalikan karena masalah keamanan yang ditemukan selama audit kode sumber Rust Coreutils. Sebagian besar kerentanan di Rust Coreutils disebabkan oleh kondisi persaingan (race condition), yang memungkinkan data dimodifikasi setelah informasi diverifikasi tetapi sebelum operasi dilakukan (TOCTOU — Time-Of-Check-To-Time-Of-Use). Di antara hal-hal lain, kerentanan tersebut memungkinkan file diganti dengan tautan simbolik antara selesainya pemeriksaan dan dimulainya operasi.
Saat menggunakan utilitas cp, mv, dan rm dalam skrip sistem yang dijalankan dengan hak akses root, mengganti tautan simbolik memungkinkan file apa pun untuk disalin, ditimpa, atau dihapus. Misalnya, saat menghapus direktori secara rekursif, utilitas rm pertama-tama memindai semua direktori dan kemudian menghapusnya secara berurutan dalam urutan terbalik dengan memanggil fungsi rmdir(). Dengan mengganti tautan simbolik untuk direktori induk segera setelah memindai direktori tersebut, tetapi sebelum memindai direktori anak-anaknya, Anda dapat menghapus direktori apa pun di sistem saat skrip cron /etc/cron.daily/apport dijalankan setiap hari. Saat dijalankan sebagai root, skrip tersebut secara rekursif menghapus isi direktori /var/crash, yang dapat ditulis oleh semua pengguna di sistem.
Sumber: opennet.ru
