Ubuntu 26.10 버전이 Rust Coreutils로 완전히 변환되었습니다.

배포판 패키지 데이터베이스에서 Ubuntu 10월 15일 출시 예정인 26.10 버전은 Rust 언어로 작성된 uutils coreutils(Rust Coreutils) 툴킷으로의 완전한 전환을 의미합니다. Rust Coreutils 유틸리티는 cp, mv, rm 유틸리티를 포함하여 GNU Coreutils 패키지의 모든 구성 요소를 완전히 대체합니다. Ubuntu 26.04 버전은 GNU Coreutils의 변형 버전으로 제공되었습니다.

rust-coreutils 패키지는 초기 릴리스에 기본적으로 포함되었습니다. Ubuntu 25.10이지만 LTS 지점에서는 그렇습니다. Ubuntu 4월 26일, GNU Coreutils 제품군의 cp, mv, rm 유틸리티가 롤백되었습니다. 이러한 옵션은 Rust Coreutils 코드베이스에 대한 감사 과정에서 발견된 보안 문제로 인해 되돌려졌습니다. Rust Coreutils의 대부분의 취약점은 경쟁 조건(race condition)으로 인해 발생하며, 이는 정보 검증 후 작업이 수행되기 전에 데이터가 수정될 수 있도록 허용합니다(TOCTOU - Time-Of-Check-To-Time-Of-Use). 이러한 취약점은 특히 검증 완료와 작업 시작 사이에 파일이 심볼릭 링크로 대체될 수 있도록 합니다.

루트 권한으로 실행되는 시스템 스크립트에서 cp, mv, rm 유틸리티를 사용할 때, 심볼릭 링크를 사용하면 임의의 파일을 복사, 덮어쓰기 또는 삭제할 수 있습니다. 예를 들어, 디렉터리를 재귀적으로 삭제할 때 rm 유틸리티는 먼저 모든 디렉터리를 스캔한 다음 rmdir() 함수를 호출하여 역순으로 순차적으로 삭제합니다. 하지만 상위 디렉터리를 스캔한 직후, 하위 디렉터리를 스캔하기 전에 해당 디렉터리에 심볼릭 링크를 생성하면 /etc/cron.daily/apport cron 스크립트가 매일 실행될 때 시스템의 모든 디렉터리를 삭제할 수 있습니다. 루트 권한으로 실행되는 이 스크립트는 시스템의 모든 사용자가 쓰기 권한을 가진 /var/crash 디렉터리의 내용을 재귀적으로 삭제합니다.

출처 : opennet.ru