I Rust Coreutils har 113 sårbarheter identifierats. cp, mv och rm har återinförts från GNU Coreutils i Ubuntu 26.04.

Företaget Canonical har publicerat preliminära resultat från en oberoende säkerhetsgranskning av verktyget uutils coreutils (Rust Coreutils), som är skrivet på Rust och delvis används i Ubuntu istället för GNU Coreutils-paketet. Granskningen genomfördes av företaget Zellic, som har erfarenhet av att analysera sårbarheter i projekt skrivna i Rust. Under granskningen upptäcktes 113 säkerhetsproblem.

Just nu är rapporten (PDF, 156 sidor) med resultaten från den första etappen av granskningen tillgänglig, vilket omfattar de mest viktiga verktygen från uutils-setet. Den första etappen, som genomfördes från december 2025 till januari 2026, upptäckte 73 sårbarheter, varav 7 betecknades som kritiska, 11 som farliga, 29 som medelhöga och 26 som icke-farliga.

Den andra etappen av granskningen genomfördes från februari till mars och omfattade sekundära verktyg som inte kontrollerades under den första etappen. Under den andra etappen upptäcktes 40 sårbarheter, vars fara för närvarande inte har detaljerats (rapporten planeras att publiceras senare). Informationen om alla upptäckta problem har redan överlämnats till utvecklarna av uutils, och en stor del av sårbarheterna har åtgärdats i versionerna uutils 0.5-0.8 utan offentlig kännedom och utan märkning av samband mellan de införda korrigeringarna och åtgärdandet av sårbarheterna.

Paketen rust-coreutils inkluderades som standard i höstversionen av Ubuntu 25.10, men med hänsyn till de problem som avslöjades under granskningen har verktygen cp, mv och rm från GNU Coreutils-setet återinförts i LTS-grenen av Ubuntu 26.04. Det noteras att per den 22 april finns det fortfarande 8 kända race-conditions i dessa verktyg som inte har åtgärdats. Övriga verktyg används från versionen rust-coreutils 0.8.0. I Ubuntu 26.10 avser utvecklarna att helt övergå till rust-coreutils.

Sårbarheter i systemverktygen är farliga eftersom de används i skript som körs med root-rättigheter. Till exempel kunde en sårbarhet som åtgärdades i version uutils coreutils 0.3.0 i rm-verktyget utnyttjas vid det dagliga körandet av skriptet /etc/cron.daily/apport, som körs med root-rättigheter och rekursivt tar bort innehållet i katalogen /var/crash, som är skrivbar för alla användare i systemet.

Bland de sårbarheter som markerades som kritiska i den första rapporten:

• En sårbarhet i chroot-verktyget, orsakad av hantering av alternativet "—userspec" efter anropet av chroot(), men före återställning av privilegier. På system med glibc leder namnupplösning via funktionen getpwnam() till läsning av filen /etc/nsswitch.conf, som används i NSS (Name Service Switch), och dynamisk inläsning av de bibliotek som anges i den med NSS-moduler (libnss_*.so.2). Eftersom chroot()-anropet utförs före behandling av NSS laddas filen /etc/nsswitch.conf relativt den nya rotkatalogen, men NSS-biblioteken laddas innan privilegierna återställs. Om användaren har skrivåtkomst till den nya rotkatalogen kan han infoga sina egna NSS-bibliotek och utföra kod med root-rättigheter.
• Ändring av filåtkomst efter ett misslyckande av att skapa en namngiven kanal (FIFO) med verktyget mkfifo – när en befintlig fil anges som argument, returnerar mkfifo ett fel, men avslutar inte kraschat utan anropar set_permissions() och ändrar åtkomsträttigheterna för den befintliga filen. Med umask 022 tillåter sårbarheten att ändra filrättigheterna till 644 (rw-r--r--) och få åtkomst till filer för vilka läsning inte var tillåten.
• Övergång av begränsningar „—preserve-root” i chmod-verktyget, som förbjuder rekursiva åtgärder avseende roten av filsystemet. Sårbarheten (CVE-2026-35338) uppstår eftersom koden bara kontrollerade exakt matchning av sökvägen med „/” och ingen kanonisering av filvägen utfördes. För att kringgå kontrollen räcker det med att använda en väg som "../" eller en symbolisk länk till roten. Sårbarheten är farlig i det att om man kan sätta sin egen väg i ett systemscript som anropar chmod-kommandot kan man uppnå rekursiva ändringar av åtkomsträttigheter för alla filer i filsystemet.
• I rm-verktyget tillåts behandling av alla förkortningar av alternativet „—no-preserve-root” („—n”, „—no”, „—no-p”, „—no-pres” etc.) för att stänga av skyddet mot att utföra rekursiva operationer med roten (till exempel kan man ange „rm -rf —n /” och av misstag ta bort all data). I GNU Coreutils är sådana förkortade alternativ förbjudna.
• Övergång av begränsningar „—preserve-root” i rm-verktyget, som förbjuder rekursiva operationer avseende roten i filsystemet, genom att använda en symbolisk länk till "/".
• Avsaknad av fullständig skydd mot angivelse av kataloger som börjar med en punkt. Till exempel, när man kör „rm -rf .” kommer verktyget att ge ett felmeddelande, men med angivelse av „rm -rf ./” eller „rm -rf .///” kommer det tyst att ta bort den aktuella katalogen.
• Ett fel i analyseringskoden för kill-verktyget gör det möjligt att skicka en signal till alla processer i systemet genom att ange process-ID:t „-1” (kill -1).

I övrigt hör de flesta sårbarheterna till klassen TOCTOU (Time-Of-Check-To-Time-Of-Use), vilket innebär att det finns ett racetillstånd som möjliggör förändring av data efter att kontrollen av informationens korrekthet har gjorts, men före operationen med dem. Det kan till exempel handla om att byta ut en fil mot en symbolisk länk mellan att kontrollen slutförts och operationens utförande påbörjas. I samband med användningen av cp- och mv-verktyg i systemskript som körs med root-rättigheter, ger sådana sårbarheter möjlighet att kopiera eller skriva över godtyckliga filer.

Källa: opennet.ru