abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-96512

CVE-2026-96512

sudo 1.9.13p3 (Debian bookworm) — Sudo Project

sudo에서 결함이 발견되었습니다. sudoers 규칙이 후행 Z 시간대 표시자를 생략한 타임스탬프와 함께 NOTBEFORE 또는 NOTAFTER 시간 기반 접근 제한을 사용할 경우, 시간 평가가 호출 사용자로부터 상속된 TZ 환경 변수에 의존합니다.

권고 (소스 맵에서)

plugins/sudoers parse_gentime / gram.y timespec. Fix sudo-project/sudo@1820a34 copies environ off envp and unsetenv TZ.

진입점

• Method: LOCAL
• Path: TZ=UTC+14 sudo -n /usr/bin/id
• Router: 인증된 로컬 sudoers 정책. parse_gentime() mktime() on NOTAFTER without Z. TZ inherited from the sudoers subject.
• Notes: CVE-2026-96512 CWE-863 sudo 1.9.13p3. Witness: uid=0(root) with TZ=UTC+14; denied without TZ. Not a reverse shell. Local PR:L only.

호출 체인

• sudoers: labuser ALL=(root) NOPASSWD: NOTAFTER=<now-1h no Z> /usr/bin/id
• labuser sudo -n /usr/bin/id -> denied (expired)
• TZ=UTC+14 sudo -n /usr/bin/id
• parse_gentime mktime honors POSIX TZ=UTC+14
• NOTAFTER epoch shifts +14h; command allowed as root

랩 전제 조건

• sudo 1.8.20 ~ 1.9.17p2
• 후행 Z가 없는 NOTBEFORE 또는 NOTAFTER를 가진 공격자에 대한 sudoers 규칙

Witness

TZ 없이: sudo -n id 거부됨. TZ=UTC+14 사용 시: uid=0(root).

성공이 아닌 경우

• TZ 없는 root (규칙은 여전히 유효)
• 원격 네트워크 접근
• 리버스 셸

패치 / 완화

먼저 이것을 하십시오: sudo를 main commit 1820a34 (아직 업스트림 릴리스 없음) 이상으로 업데이트하십시오.

업그레이드 후 확인

• 패치된 빌드에 대해 CVE-2026-96512-Abraxas-Labs.py를 다시 실행하십시오: 매핑된 witness가 나타나지 않아야 합니다.
• 배포된 트리에서 벤더 권고 / 변경 세트를 확인하십시오 (참조 참조).
• WAF 시그니처는 지연이지 패치가 아닙니다.

즉시 업데이트할 수 없는 경우

• 영향을 받는 구성 요소를 비활성화하거나 격리하십시오.
• 프로덕션에서 witness 조건을 찾으십시오 (새로운 권한 사용자, 예상치 못한 파일, 주입된 행 — 이 CVE의 맵이 명명하는 모든 것).

재현 (승인된 랩)

오직 http://127.0.0.1:8088 (또는 바인딩한 루프백)만 대상으로 하십시오. 이 스크립트를 인터넷으로 향하게 하지 마십시오.

python3 CVE-2026-96512-Abraxas-Labs.py

성공은 응답 본문에 위의 witness가 있는 것입니다. 일반적인 200 HTML은 아닙니다.

랩 이미지

재현에 사용된 루프백 스택. 이 폴더의 Dockerfile이 소스에서 빌드하지 않는 한 공식 이미지입니다.

• lab/docker-compose.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

YAML이 로컬 디렉터리를 마운트하는 경우 (버전 테이블의 플러그인 zip / 소스 태그) Compose 옆에 취약한 제품 트리를 바인딩하십시오. 127.0.0.1 외에는 아무것도 게시하지 마십시오.

참조

• CVE-2026-96512 · NVD

• CVE-2026-96512 · CVE.org

• access.redhat.com/security/cve/cve-2026-96512

• http://www.openwall.com/lists/oss-security/2026/09/24/4

• github.com/sudo-project/sudo/commit/1820a349687522f51023d1ae5925125f59679a8c

• www.cve.org/CVERecord?id=CVE-2026-96512

• access.redhat.com/security/cve/CVE-2026-96512

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

기록 (구조화됨)

# CVE-2026-96512

CWE: CWE-863
CVSS: High 7.8 CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (Red Hat).

## Description

sudoers `NOTBEFORE`/`NOTAFTER` timestamps without a trailing `Z` are converted with `mktime()`, which follows the caller’s `TZ`. A local user who is already named in such a rule can shift the window by up to ~25 hours (POSIX `TZ=UTC+14`) and run the allowed command outside the intended period. PAM authentication is unchanged.

## Product

sudo 1.9.13p3 on Debian bookworm (upstream 1.8.20–1.9.17p2). Fix in main `1820a34`; no upstream tarball yet at disclosure. Lab oracle is `uid=0(root)` via TZ, not a shell.

라이선스

이 공개 팩은 GNU Affero General Public License v3.0에 따라 라이선스가 부여됩니다. LICENSE를 참조하십시오.

면책 조항

이 팩은 벤더, 사이트 소유자 및 라이선스된 랩을 위한 것입니다. 스크립트는 127.0.0.1과 통신합니다. 소유하지 않은 시스템에 대해 사용하는 것은 Abraxas Labs에 의해 승인되지 않습니다. 보증 없음.

abraxaslabs.tech · github.com/abraxas · @abraxas_null