- Yama var
- Son 7 gün
- CWE-367
CVE-2026-77059
boneIO'da TOCTOU Yarış Koşulu Açığı, Yerel Yetki Yükseltmeye Yol Açabiliyor
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- CERT-PL
ÖzetTürkçe
boneIO Black, boneio/webui/routes/timezone_sudoers.py dosyasındaki create_timedatectl_sudoers_file fonksiyonunda bir TOCTOU yarış koşulu içeriyor. Fonksiyon, sudoers kurallarını tahmin edilebilir bir geçici dosyaya yazıyor, bunları doğruluyor ve ardından root ayrıcalıklarıyla kuruyor. Yerel bir saldırgan, doğrulama ile kurulum arasındaki yarış penceresinden yararlanarak kötü amaçlı içeriği yerine koyabilir veya tahmin edilebilir dosya adını sembolik bağlantı saldırıları için kullanabilir. Bu da keyfi sudoers kuralı enjeksiyonuna ve root yetkisine yerel yetki yükseltmeye neden oluyor.
Bu sorun 1.6.0 sürümünde giderildi.
Kaynaktaki açıklama (İngilizce)
boneIO Black contains a TOCTOU race condition in the create_timedatectl_sudoers_file() function in boneio/webui/routes/timezone_sudoers.py. The function writes sudoers rules to a predictable temporary file, validates them, then installs them with root privileges. A local attacker can exploit the race window between validation and installation to substitute malicious content, or use the predictable filename for symlink attacks, resulting in arbitrary sudoers rule injection and local privilege escalation to root.
This issue was fixed in version 1.6.0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| boneIO | ≥ 1.3.0, < 1.6.0 | 1.6.0 |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- cert.pl/en/posts/2026/10/CVE-2026-77052 Üçüncü taraf
- boneio.eu/en/docs/black Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.