Уязвимост в сигурността с висока степен на критичност в Sudo би могла да позволи на локални атакуващи да заобиколят времевите ограничения за достъп и да изпълняват команди с повишени привилегии.
Проследявана като CVE-2026-96512, дефектът засяга версии на Sudo от 1.8.20 до 1.9.17p2 и е свързан с ненадеждна обработка на променливата на средата TZ.
Sudo е широко използвана Linux програма, която позволява на одобрени потребители да изпълняват команди като друг потребител, обикновено root. Администраторите могат да използват sudoers правила, за да ограничат кога могат да се изпълняват привилегировани команди.
Тези правила могат да включват условия NOTBEFORE и NOTAFTER, предотвратяващи достъпа преди определена дата или след изтичане на прозореца за достъп.
Уязвимостта позволява на непривилегировани потребители да манипулират ограниченията за часовия пояс в Sudo, тъй като parse_gentime() разчита на mktime() и променливата TZ на средата, за да обработва времеви отпечатъци без изрично посочени часови пояси.
Тъй като Sudo е setuid-root програма и първоначално наследява средата на извикващия я потребител, локален потребител може да дефинира специално адаптирана стойност за часови пояс, преди да стартира Sudo команда.
Екстремно POSIX изместване на часовия пояс, като TZ=XXX24, може да измести интерпретацията на Sudo за времето на ауторизация с приблизително 25 часа в двете посоки. Това може да направи така, че изтекло правило NOTAFTER да изглежда активно или да позволи правило NOTBEFORE да бъде използвано преди планирания му начален час.
Уязвимост в сигурността на Sudo
Дефектът не заобикаля автентикацията с парола или Pluggable Authentication Modules, известни като PAM. Атакуващият все пак трябва да бъде автентикиран локален потребител и вече да има Sudo правило, разчитащо на засегнатите времеви ограничения.
Въпреки това, когато администраторите използват времеви прозорци за предоставяне на временен достъп до чувствителни команди, проблемът може да подкопае този контрол за сигурност и да даде възможност за ескалация на привилегии извън разрешения график. Засегнатата функция за времева ауторизация е въведена в Sudo 1.8.20.
Досието за уязвимостта на Red Hat класифицира проблема като такъв с висока критичност и отбелязва, че Linux системи, използващи уязвими версии на Sudo, могат да бъдат изложени на риск, когато условията NOTBEFORE или NOTAFTER са конфигурирани без изрична информация за часовия пояс. Независимият изследовател по сигурността Ermenson Junior съобщи за проблема на 28 август 2026 г.
Основният поддържащ Sudo Todd Miller внесе корекция в главния клон на проекта на 29 август 2026 г. Корекцията за сигурност премахва контролираната от потребителя променлива TZ от работната среда на Sudo при задаване на часовия пояс, предотвратявайки повторни извиквания към mktime() от използване на часови пояс, предоставен от атакуващия. Към момента на разкриване, корекцията все още не беше включена в официално издадена версия Sudo 1.9.18.
Организациите трябва да идентифицират системи, работещи със Sudo от 1.8.20 до 1.9.17p2, да прегледат sudoers политиките за записи NOTBEFORE и NOTAFTER и да инсталират предоставените от доставчиците обновления, след като са налични.
Администраторите трябва също така да използват изрични UTC времеви отпечатъци или измествания на часовия пояс във времево ограничените правила за ауторизация, където е възможно, намалявайки двусмислието при изчисленията на времето.