CVE-2026-35374

uutils coreutils'in split aracında bir Kontrol Zamanı ile Kullanım Zamanı Arasındaki Fark (TOCTOU) zafiyeti bulunmaktadır. Program, bölme işlemini başlatmadan önce giriş ve çıkış dosyaları arasındaki kimliği dosya yollarını kullanarak kontrol ederek veri kaybını önlemeye çalışır. Ancak araç, bu yol tabanlı doğrulama tamamlandıktan sonra çıkış dosyasını budama (truncation) ile açar. Dizine yazma erişimi olan yerel bir saldırgan, değiştirilebilir yol bileşenlerini manipüle ederek (örneğin, bir yolu sembolik bir bağlantıyla değiştirerek) bu yarış durumundan faydalanabilir. Bu durum, split aracının istenmeyen bir hedef dosyayı budamasına ve üzerine yazmasına neden olabilir; bu hedef dosya giriş dosyasının kendisi veya sürecin erişebildiği diğer hassas dosyalar olabilir ve kalıcı veri kaybına yol açabilir.