Zellic

O modo recursivo (-R) do utilitário chmod processa incorretamente os códigos de saída ao lidar com múltiplos arquivos. O valor de retorno final é determinado exclusivamente pelo sucesso ou falha do último arquivo processado. Isso permite que o comando retorne um código de saída 0 mesmo que tenham ocorrido erros, como 'Operation not permitted', durante o processamento de arquivos anteriores. Consequentemente, scripts que dependem desses códigos de saída podem assumir incorretamente que a operação foi bem-sucedida, enquanto alguns arquivos mantêm permissões incorretas.

Uma falha no ChownExecutor usado pelo chown e chgrp faz com que esses utilitários retornem um código de saída incorreto durante operações recursivas. O código de saída final é determinado apenas pelo último arquivo processado. Se a última operação for bem-sucedida, o comando retorna 0, mesmo que alterações anteriores de proprietário ou grupo tenham falhado devido a erros de permissão. Isso pode levar a configurações de segurança incorretas, onde scripts administrativos assumem erroneamente que a propriedade foi transferida com sucesso em toda a árvore de diretórios.

Uma falha no utilitário mkfifo permite a modificação não autorizada de permissões em arquivos existentes. Quando o utilitário falha ao criar um FIFO porque um arquivo já existe no caminho de destino, ele não encerra a operação. Em vez disso, prossegue com a execução de uma chamada set permissions, que altera as permissões do arquivo existente para o modo padrão (geralmente 644 após umask). Isso pode levar à exposição de arquivos sensíveis, como chaves privadas SSH, para outros usuários no sistema.

O utilitário mktemp falha ao lidar adequadamente com uma variável de ambiente `TMPDIR` vazia. Enquanto outras implementações retornam para /tmp quando `TMPDIR` é uma string vazia, esta implementação trata a string vazia como um caminho válido, resultando na criação de arquivos temporários no diretório de trabalho atual. Esse comportamento pode levar ao acesso não autorizado a dados temporários ou divulgação de informações se o diretório de trabalho atual possuir controles de acesso mais permissivos do que o diretório temporário seguro pretendido.

O utilitário cut processa incorretamente a opção -s (only-delimited) quando um caractere de nova linha é especificado como delimitador. A função `cut fields newline char delim()` falha ao verificar a flag `only delimited`, fazendo com que o utilitário imprima linhas não delimitadas que deveriam ter sido suprimidas. Isso pode levar a que dados inesperados sejam passados para scripts subsequentes que dependem de filtragem rigorosa de saída.

O utilitário dd suprime erros durante operações de truncamento de arquivos ao chamar incondicionalmente a função `Result::ok()` em tentativas de truncamento. Embora isso tenha sido pretendido para imitar o comportamento do GNU para arquivos especiais como '/dev/null', a implementação também oculta falhas em arquivos e diretórios comuns causadas por sistemas de arquivos somente leitura ou discos cheios. Isso pode resultar em corrupção silenciosa de dados em scripts de migração ou backup, pois o utilitário pode reportar uma operação bem-sucedida mesmo que o arquivo de destino contenha dados antigos ou incorretos.

Uma falha no utilitário tail ocorre ao usar a opção '--follow=name'. A implementação continua a monitorar um caminho mesmo após ele ter sido substituído por um link simbólico, o que leva à exibição do conteúdo do arquivo de destino. Um invasor local com acesso de gravação a um diretório monitorado pode substituir um arquivo de log por um link simbólico para um arquivo sensível do sistema, como '/etc/shadow', fazendo com que o utilitário divulgue o conteúdo desse arquivo se ele estiver sendo monitorado por um usuário privilegiado.

O utilitário comm corrompe dados silenciosamente ao realizar a conversão UTF-8 com perda em todas as linhas de saída. A implementação utiliza a função `String::from utf8 lossy()`, que substitui sequências de bytes UTF-8 inválidas pelo caractere de substituição Unicode (U+FFFD). Esse comportamento resulta em saída corrompida ao comparar arquivos binários ou arquivos que utilizam codificações legadas não-UTF-8, pois não preserva os bytes originais.

O utilitário comm consome incorretamente dados de entradas de arquivos não regulares antes de realizar operações de comparação. A função `are files identical()` abre e lê ambos os caminhos de entrada para comparar o conteúdo sem verificar primeiro se os caminhos se referem a arquivos regulares. Se um caminho de entrada for um FIFO (um arquivo especial que permite a comunicação entre processos) ou um pipe, esta operação de pré-leitura esvazia o fluxo, levando a uma perda silenciosa de dados antes que a lógica de comparação real seja executada. Além disso, o utilitário pode travar indefinidamente se tentar realizar a pré-leitura de fluxos infinitos, como '/dev/zero'.

O utilitário sort está suscetível a um pânico de processo quando a opção '--files0-from' é utilizada com entradas contendo nomes de arquivos que não estão em UTF-8. O problema ocorre porque a implementação impõe a codificação UTF-8 e utiliza a função `expect()`, levando a um travamento imediato ao encontrar caminhos válidos, porém não codificados em UTF-8. Este comportamento difere do GNU sort, que processa nomes de arquivos como bytes brutos. Um invasor local pode explorar isso para travar o utilitário e interromper pipelines automatizados.

Uma falha no utilitário rm permite a evasão da proteção --preserve-root. O sistema utiliza uma verificação de string de caminho em vez de comparar números de dispositivo e inode para identificar o diretório raiz. Isso permite que um usuário ignore a proteção usando um link simbólico que resolve para o diretório raiz, o que pode levar à exclusão recursiva de todo o sistema de arquivos raiz.

O utilitário cp falha ao lidar adequadamente com os bits setuid e setgid quando a preservação de propriedade falha. Ao usar a flag '-p' (preserve), o utilitário aplica os bits de modo da origem mesmo que a operação chown não seja bem-sucedida. Isso pode resultar em uma cópia de propriedade do usuário que retém bits privilegiados originais, criando executáveis privilegiados inesperados que violam as políticas de segurança locais.

O utilitário mv falha ao preservar a propriedade de arquivos durante movimentações entre diferentes limites de sistema de arquivos. Nesses casos, o utilitário utiliza uma rotina de cópia e exclusão que cria o arquivo de destino usando o UID (Identificador de Usuário) e GID (Identificador de Grupo) de quem executou o comando, em vez dos metadados de origem. Esse comportamento pode fazer com que arquivos movidos por um usuário privilegiado passem a pertencer a esse usuário, podendo levar à restrição de acesso para os proprietários pretendidos ou à divulgação de informações.

Uma condição de corrida de Tempo de Verificação para Tempo de Uso (TOCTOU) existe no utilitário mkfifo. Isso ocorre quando o utilitário cria um FIFO e, posteriormente, executa um chmod baseado em caminho para definir as permissões. Um invasor local com acesso de gravação ao diretório pai pode substituir o FIFO recém-criado por um link simbólico entre essas duas operações, redirecionando a chamada chmod para um arquivo arbitrário. Isso pode levar à escalada de privilégios se o utilitário for executado com privilégios elevados. TOCTOU é um erro de software onde um sistema verifica o estado de um recurso antes de usá-lo, mas o estado muda entre a verificação e o uso.

O utilitário mkdir aplica permissões incorretamente quando a flag `-m` é utilizada. O utilitário cria um diretório com permissões derivadas do umask (tipicamente 0755) e, posteriormente, as altera para o modo solicitado através de uma chamada de sistema chmod separada. Em ambientes multiusuário, isso cria uma janela curta onde um diretório destinado a ser privado permanece acessível a outros usuários, o que pode levar ao acesso não autorizado a dados.

Um problema de Time-of-Check to Time-of-Use (TOCTOU) existe no utilitário mv durante movimentações entre dispositivos. A lógica de preservação de atributos estendidos (xattr) utiliza múltiplas chamadas de sistema baseadas em caminhos que realizam novas buscas de caminho para inode a cada operação. Um invasor local com acesso de escrita ao diretório pode explorar essa condição de corrida para trocar arquivos entre as chamadas, fazendo com que o arquivo de destino receba uma mistura inconsistente de xattrs de segurança, como rótulos SELinux ou capacidades de arquivo.

O utilitário install contém uma condição de corrida de Tempo de Verificação ao Tempo de Uso (TOCTOU) durante a instalação de arquivos. Isso ocorre porque a implementação remove um arquivo de destino existente e o recria usando uma operação baseada em caminho sem a flag `O EXCL`. Um invasor local pode explorar a janela de tempo entre a remoção e a criação para substituir o caminho por um link simbólico, permitindo o redirecionamento de gravações privilegiadas para sobrescrever arquivos arbitrários do sistema. TOCTOU é um erro de software onde o estado de um recurso muda entre o momento em que é verificado e o momento em que é utilizado.

Um problema de Time-of-Check to Time-of-Use (TOCTOU) existe no utilitário install ao usar a flag '-D'. O comando cria diretórios pai e, em seguida, realiza uma segunda resolução de caminho para criar o arquivo de destino, sem ancorar nenhum desses processos a um descritor de arquivo de diretório. Um invasor com acesso de gravação simultâneo pode substituir um componente do caminho por um link simbólico entre essas operações, redirecionando a gravação privilegiada para um local arbitrário do sistema de arquivos. TOCTOU é uma condição de corrida onde um recurso do sistema é modificado entre o momento em que é verificado e o momento em que é utilizado.

O utilitário cp está sujeito a uma condição de corrida de divulgação de informações. Os arquivos de destino são inicialmente criados usando permissões derivadas do umask (por exemplo, 0644) antes que o processo as restrinja ao modo final (por exemplo, 0600). Um invasor local pode explorar essa janela de tempo para abrir o arquivo; o descritor de arquivo resultante permanece válido e legível mesmo após o endurecimento das permissões, permitindo o acesso a conteúdos sensíveis ou privados.

Uma falha no utilitário chmod permite que usuários ignorem o mecanismo de segurança --preserve-root. A implementação valida se o caminho de destino é literalmente '/', mas não realiza a canonicalização do caminho. Isso permite o uso de variantes de caminho, como '/../', ou links simbólicos para executar operações recursivas destrutivas, como 'chmod -R 000', em todo o sistema de arquivos raiz, o que pode resultar na perda de permissões em todo o sistema e no colapso total do sistema.