No banco de dados de pacotes da distribuição Ubuntu A versão 26.10, com lançamento previsto para 15 de outubro, marca a transição completa para o conjunto de ferramentas uutils coreutils (Rust Coreutils), escrito em Rust. Os utilitários Rust Coreutils substituíram completamente todos os componentes do pacote GNU Coreutils, incluindo os utilitários cp, mv e rm. Ubuntu A versão 26.04 foi fornecida em uma variante do GNU Coreutils.
O pacote rust-coreutils foi inicialmente incluído por padrão na versão lançada. Ubuntu 25.10, mas na ramificação LTS Ubuntu Em 26.04 de abril, os utilitários cp, mv e rm do pacote GNU Coreutils foram revertidos. Essas opções foram revertidas devido a problemas de segurança descobertos durante uma auditoria no código-fonte do Rust Coreutils. A maioria das vulnerabilidades no Rust Coreutils é causada por condições de corrida, que permitem que os dados sejam modificados após a verificação das informações, mas antes da execução de uma operação (TOCTOU — Time-Of-Check-To-Time-Of-Use). Entre outras coisas, essas vulnerabilidades permitem que um arquivo seja substituído por um link simbólico entre a conclusão da verificação e o início da operação.
Ao usar os utilitários cp, mv e rm em scripts de sistema executados com privilégios de root, a substituição por um link simbólico permite que arquivos arbitrários sejam copiados, sobrescritos ou excluídos. Por exemplo, ao excluir diretórios recursivamente, o utilitário rm primeiro examina todos os diretórios e, em seguida, os exclui sequencialmente em ordem inversa, chamando a função rmdir(). Ao substituir um link simbólico para o diretório pai imediatamente após examiná-lo, mas antes de examinar seus diretórios filhos, você pode excluir qualquer diretório no sistema quando o script cron /etc/cron.daily/apport for executado diariamente. Executado como root, o script exclui recursivamente o conteúdo do diretório /var/crash, que é gravável por todos os usuários do sistema.
Fonte: opennet.ru
