Ubuntu 26.10 je úplne preložené na Rust Coreutils

Vo verzii balíka distribúcie Ubuntu 26.10, ktorého vydanie je naplánované na 15. októbra, došlo k úplnému prechodu na nástroje uutils coreutils (Rust Coreutils), napísané v jazyku Rust. Nástroje zo zbierky Rust Coreutils plne nahradili všetky komponenty balíka GNU Coreutils, vrátane nástrojov cp, mv a rm, ktoré boli v Ubuntu 26.04 dodávané vo verzii z GNU Coreutils.

Balík rust-coreutils bol pôvodne zahrnutý implicitne vo vydaní Ubuntu 25.10, ale v LTS vetve Ubuntu 26.04 došlo k návratu na dodávanie nástrojov cp, mv a rm zo sady GNU Coreutils. Verzie cp, mv a rm boli vrátené kvôli problémom s bezpečnosťou, ktoré sa ukázali počas auditu kódovej základne Rust Coreutils. Väčšina zraniteľností v Rust Coreutils je spôsobená prítomnosťou race condition, ktorá umožňuje zmeny údajov v okamihu po overení informácií, ale pred ich vykonaním (TOCTOU – Time-Of-Check-To-Time-Of-Use). Medzi iným, takéto zraniteľnosti umožňujú nahradiť súbor symbolickým odkazom v okamihu medzi dokončením kontroly a začatím vykonania operácie.

V kontexte používania nástrojov cp, mv a rm v systémových skriptoch spúšťaných s právami root, substitúcia symbolického odkazu umožňuje kopírovať, prepísať alebo odstrániť ľubovoľné súbory. Napríklad, pri rekurzívnom odstraňovaní adresárov nástroj rm najprv overoval všetky adresáre a potom ich postupne odstraňoval v opačnom poradí, pričom volal funkciu rmdir(). Ak nahradíme rodičovský adresár symbolickým odkazom hneď po overení tohto adresára, ale pred overením vnorených podadresárov, môžeme dosiahnuť odstránenie akéhokoľvek adresára v systéme pri každodennom spúšťaní zo skriptu cron /etc/cron.daily/apport, ktorý pracuje s právami root rekurzívne odstraňuje obsah adresára /var/crash, ktorý je prístupný na zápis všetkým používateľom v systéme.

Zdroj: opennet.ru