🔔 亲爱的 deepin 用户与社区伙伴们：

近期，我们监控到 sudo 存在一个时间窗口授权绕过漏洞。在特定条件下，攻击者可以让已经过期或尚未生效的 sudo 授权规则被误判为有效，从而在预期时段之外拿到 root 权限。

目前该漏洞的利用技术细节已经公开，鉴于其严重性和广泛影响，为确保您的系统安全，我们建议所有用户尽快升级。

漏洞信息

漏洞编号： CVE-2026-96512

漏洞描述：该漏洞源于 sudo 对 sudoers 规则中基于时间的访问限制（NOTBEFORE / NOTAFTER）的授权校验缺陷（CWE-863）。当规则中的时间戳未带 UTC 后缀 Z 时，sudo 使用 mktime() 解析该时间，而 mktime() 会读取调用进程的 TZ 环境变量，使时间窗口评估受调用者控制。本地普通用户在被此类时间窗口规则授权时，可通过将 TZ 设置为极端时区偏移（如 UTC+14），使时间窗口前后偏移最多约 25 小时，令已过期或尚未生效的规则被误判为有效，从而在预期时段之外执行原本不应被允许的 sudo 命令，实现本地提权至 root。该漏洞于 2026-09-23 经公开渠道披露（Red Hat 安全公告、oss-security），影响 sudo 1.8.20 至 1.9.17p2 及 main 分支修复前版本；上游修复提交为 1820a34（移除 sudo 工作环境中的 TZ 环境变量）。

漏洞等级： ⚠️⚠️⚠️ 高危（CVSS 7.8）

利用条件：

1. sudoers 中存在对攻击者生效的 NOTBEFORE 或 NOTAFTER 时间窗口规则，且时间戳未带 UTC 后缀 Z（默认配置通常不含此类规则）；
2. 攻击者为该规则的授权对象，具备本地已认证用户权限；
3. 攻击者可在调用 sudo 时控制 TZ 环境变量。

影响范围

所有未更新本次修复的 deepin 25 用户均受影响，建议立即更新升级。

修复进展

deepin 25（6.6 及 6.18 内核）：

针对 deepin 25 的漏洞修复更新已完成推送 ，请尽快通过 控制中心 更新，或使用终端命令升级：

sudo apt update && sudo apt dist-upgrade

升级后请重启系统以确保修复生效。

以上就是本次全部更新内容啦，再次感谢每一位 deepin 社区朋友的支持！