Script di riproduzione e PoC per CVE-2026-96512 (SudoTimeWarp), in cui il TZ del chiamante sposta le finestre NOTBEFORE/NOTAFTER di sudoers, più controlli di mitigazione.
sudo: il TZ del chiamante decide NOTBEFORE/NOTAFTER
Materiale di riproduzione per SudoTimeWarp (CVE-2026-96512). Una regola sudoers il cui timestamp Date_Spec omette
la Z finale viene convertita da mktime(), che rilegge getenv("TZ") a ogni chiamata.
Poiché sudo è setuid-root e l'environ del chiamante attraversa execve() intatto, il
chiamante non privilegiato sceglie il fuso orario in cui viene valutata la propria finestra di validità.
| Nome | SudoTimeWarp |
| CVE | CVE-2026-96512 |
| CVSS v3.1 | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H — 7.8 High |
| CWE | CWE-863 (registrata); il meccanismo è CWE-807 |
| Affetto | sudo 1.8.20 fino a 1.9.17p2, e main prima di 1820a349 |
| Corretto in | 1820a349 (2026-08-29) |
| Spostamento | fino a 24 h 59 m 59 s per direzione; intervallo totale 49 h 59 m 58 s |
Il problema di base — TZ influenza NOTBEFORE/NOTAFTER — è stato segnalato privatamente dallo
XlabAI Team of Tencent Xuanwu Lab, dall'Atuin Automated Vulnerability Discovery
Engine, e da Guannan Wang, Zhanpeng Liu e Guancheng Li, e accreditato nel commit
db669167c (2026-03-14).
SudoTimeWarp (CVE-2026-96512) è la scoperta che db669167c è incompleto. La protezione che
installa copre la cache dei fusi orari di glibc — e con essa i timestamp dei log — ma non
raggiunge la mktime() in gentime.c:156, dove viene decisa l'autorizzazione. Su un albero che
contiene già quel commit, lo spostamento della finestra rimane pienamente riproducibile. Il maintainer
registra il punto nel messaggio di 1820a349:
la modifica precedente "non era efficace poiché la funzione mktime() rilegge la variabile d'ambiente TZ ogni volta che viene chiamata"
Una regola sudoers che (1) concede un comando al chiamante, (2) contiene NOTBEFORE= o
NOTAFTER=, e (3) scrive il timestamp senza suffisso Z e senza un offset
esplicito.
Il punto (3) non è esotico: il manuale di sudoers documenta la forma senza suffisso come estensione
supportata, stampa 20151201235900 come uno dei suoi quattro timestamp di esempio
(docs/sudoers.man.in:1820), e la forma compare nel corpus di regressione del progetto stesso
(plugins/sudoers/regress/testsudoers/test13.sh).
Sempre in un container o VM usa e getta. Ogni script qui riscrive /etc/sudoers.
Ne fanno un backup e lo ripristinano, ma un errore lì ti blocca fuori da una macchina reale — gli
script rifiutano di essere eseguiti fuori da un container a meno che tu non passi --i-know.
docker build -t sudotimewarp .
docker run --rm -it sudotimewarp
Oppure senza costruire un'immagine:
docker run --rm -it -v "$PWD:/m" debian:trixie bash -c \
'apt-get update >/dev/null && apt-get install -y sudo >/dev/null && bash /m/poc.sh'
Output atteso su una build affetta:
=== probes ===
rule valid, no TZ : uid=0(root) gid=0(root) groups=0(root)
rule expired, no TZ : sudo: a password is required
rule expired, TZ=UTC : sudo: a password is required
rule expired, TZ=XXX24 : uid=0(root) gid=0(root) groups=0(root)
expired + 'Z', TZ=XXX24 : sudo: a password is required
XXX è una sigla di fuso orario arbitraria di tre lettere e 24 è un offset POSIX. Nessun
file è coinvolto e nessuno deve esistere — il canale sfruttabile è solo la stringa POSIX
inline. La forma tzfile (TZ=:/tmp/evil.tz e varianti) viene rifiutata dalla guardia
__libc_enable_secure di glibc sotto setuid e misura esattamente 0 s di spostamento, che è ciò che
distingue questo da CVE-2014-9680.
Le righe 1–3 sono controlli, e sono importanti: un errore di parsing produrrebbe lo stesso ALLOW del bug.
| Riga | Verifica |
|---|---|
| 1 | La regola funziona del tutto all'interno della sua finestra |
| 2 | Il diniego in assenza della riga 4 proviene davvero da NOTAFTER |
| 3 | Impostare TZ non è di per sé la causa — TZ=UTC decide come nessun TZ |
| 4 | Il bug: la regola scaduta viene eseguita come root |
| 5 | Il confine: con la Z documentata, viene preso il ramo timegm() e muore |
poc.sh esce con 0 quando affetto, 1 quando non lo è, 2 quando i controlli non hanno tenuto.
poc.sh usa NOPASSWD così può essere eseguito in modo non interattivo. Questa non è una condizione del
bug. Gli script separati mostrano esplicitamente il confine di privilegio — la parte 1 fa solo ciò che
un amministratore fa legittimamente, la parte 2 viene eseguita come utente non privilegiato e non usa alcun
privilegio di alcun tipo:
bash repro-admin.sh escalation # as root: writes the policy
su - poc -c 'bash /poc/repro-attacker.sh'
bash repro-admin.sh --cleanup
repro-admin.sh accetta quattro scenari:
| Scenario | Policy |
|---|---|
expired (default) | una regola, NOTAFTER un'ora nel passato, senza zona |
valid | la stessa regola ancora all'interno della sua finestra — controllo |
expired-z | la stessa regola scaduta con la Z documentata — controllo, forma non affetta |
escalation | una concessione permanente ristretta più una ampia scaduta — la forma che una concessione di manutenzione o break-glass assume realmente |
Con una regola che richiede password il chiamante si autentica comunque tramite PAM, e una password errata fallisce comunque. Questo non è un bypass dell'autenticazione — ciò che si sposta è la decisione di autorizzazione.
PR:L, non PR:N.TZ negano.C:L/I:N/A:N). Il vettore 7.8 valuta il caso in cui la regola datata è
più ampia dell'accesso permanente del chiamante.Il limite di ~25 h si applica alla finestra di accesso, non alla durata dell'impatto: un singolo uso riuscito al suo interno è sufficiente a stabilire una persistenza che sopravvive alla finestra.
Aggiungi Z a ogni timestamp NOTBEFORE/NOTAFTER — forza il ramo timegm().
grep -rE 'NOT(BEFORE|AFTER)=' /etc/sudoers /etc/sudoers.d/
Non fare audit con sudo -l. Formatta ogni Date_Spec tramite gmtime() e aggiunge sempre
una Z (plugins/sudoers/display.c:229), quindi una regola scritta
NOTAFTER=20260827221423 viene mostrata come NOTAFTER=20260827221423Z. L'output normalizza
via esattamente il dettaglio che la decide. cvtsudoers e fmtsudoers si comportano allo stesso modo.
Leggi /etc/sudoers direttamente.
1820a349: https://github.com/sudo-project/sudo/commit/1820a349687522f51023d1ae5925125f59679a8cSegnalato al maintainer il 2026-08-28, senza scadenza. Una patch candidata è tornata lo stesso giorno; la correzione pubblica è arrivata il 2026-08-29. CVE assegnata da Red Hat, in qualità di CNA-LR, e pubblicata il 2026-09-23. Non c'è embargo: tutto qui è pubblico dal commit di correzione.
SudoTimeWarp / CVE-2026-96512: Ermenson Junior, ricerca indipendente, registrata da Red Hat come "Independent security research". Il rapporto originale del problema sottostante appartiene allo XlabAI Team of Tencent Xuanwu Lab, all'Atuin Automated Vulnerability Discovery Engine, e a Guannan Wang, Zhanpeng Liu e Guancheng Li.
Pubblicato per uso difensivo: verificare se un host è affetto, e validare la mitigazione
Z.