• Home
  • Categories
  • WIKI
  • LANGUAGE: en
    • [Community Announcements] 紧急安全更新 | 关于 sudo 时间窗口授权绕过漏洞的修复方案！
    News 2013 views · 10 replies ·
    Tofloor
    poster avatar
    deepin小助手
    Super Moderator
    OM
    2026-10-12 10:40
    Author

    202605090615591849_以用为本.png

    🔔 亲爱的 deepin 用户与社区伙伴们：

    近期，我们监控到 sudo 存在一个时间窗口授权绕过漏洞。在特定条件下，攻击者可以让已经过期或尚未生效的 sudo 授权规则被误判为有效，从而在预期时段之外拿到 root 权限。

    目前该漏洞的利用技术细节已经公开，鉴于其严重性和广泛影响，为确保您的系统安全，我们建议所有用户尽快升级。

    漏洞信息

    漏洞编号： CVE-2026-96512

    漏洞描述：该漏洞源于 sudo 对 sudoers 规则中基于时间的访问限制（NOTBEFORE / NOTAFTER）的授权校验缺陷（CWE-863）。当规则中的时间戳未带 UTC 后缀 Z 时，sudo 使用 mktime() 解析该时间，而 mktime() 会读取调用进程的 TZ 环境变量，使时间窗口评估受调用者控制。本地普通用户在被此类时间窗口规则授权时，可通过将 TZ 设置为极端时区偏移（如 UTC+14），使时间窗口前后偏移最多约 25 小时，令已过期或尚未生效的规则被误判为有效，从而在预期时段之外执行原本不应被允许的 sudo 命令，实现本地提权至 root。该漏洞于 2026-09-23 经公开渠道披露（Red Hat 安全公告、oss-security），影响 sudo 1.8.20 至 1.9.17p2 及 main 分支修复前版本；上游修复提交为 1820a34（移除 sudo 工作环境中的 TZ 环境变量）。

    漏洞等级： ⚠️⚠️⚠️ 高危（CVSS 7.8）

    利用条件：

    1. sudoers 中存在对攻击者生效的 NOTBEFORE 或 NOTAFTER 时间窗口规则，且时间戳未带 UTC 后缀 Z（默认配置通常不含此类规则）；
    2. 攻击者为该规则的授权对象，具备本地已认证用户权限；
    3. 攻击者可在调用 sudo 时控制 TZ 环境变量。

    影响范围

    所有未更新本次修复的 deepin 25 用户均受影响，建议立即更新升级。

    修复进展

    deepin 25（6.6 及 6.18 内核）：

    针对 deepin 25 的漏洞修复更新已完成推送 ，请尽快通过 控制中心 更新，或使用终端命令升级：

    sudo apt update && sudo apt dist-upgrade

    升级后请重启系统以确保修复生效。

    以上就是本次全部更新内容啦，再次感谢每一位 deepin 社区朋友的支持！

    Reply Favorite View the author
    All Replies
    avatar
    张世琨
    deepin
    2026-10-12 14:21
    #1

    已更新

    Reply View the author
    avatar
    张世琨
    deepin
    2026-10-12 14:23
    #2

    控制中心好像还没有推送，使用终端命令升级的

    Reply View the author
    avatar
    福进
    deepin
    2026-10-12 15:29
    #3

    已更新。

    Reply View the author
    avatar
    yuchi2011
    deepin
    2026-10-12 16:45
    #4

    升级失败，提示依赖错误。如何解决？

    Reply View the author
    avatar
    deepin流云
    Super Moderator
    Community OP
    2026-10-12 17:23
    #5
    yuchi2011：

    升级失败，提示依赖错误。如何解决？

    用命令更新下看看终端有没有报错，应该是你本地哪个包跟系统依赖冲突了：

    sudo apt update&&sudo apt dist-upgrade

    Reply View the author
    avatar
    小琥在发呆
    deepin
    2026-10-13 21:59
    #6

    我感觉龙架构的应该没事，能在龙架构上运行的病毒基本没有，但我也更新了。

    Reply View the author
    avatar
    花雨落逝
    Moderator
    2026-10-17 08:37
    #7
    小琥在发呆：

    我感觉龙架构的应该没事，能在龙架构上运行的病毒基本没有，但我也更新了。

    这个不是病毒会影响，这个是sudo漏洞，说人话就是有人能在你用过sudo之后，在不知道你账户密码的情况下，也能用sudo

    Reply View the author
    avatar
    W2J
    deepin
    2026-10-19 16:22
    #8

    赶紧登录mint看了一下，乌班图竟然没更新推送。

    Reply View the author
    avatar
    momo
    deepin
    2026-10-20 09:45
    #9

    有没有更新后卡顿的

    iui@iui-PC:~$ sudo dmesg -T | grep -i -E "error|fail|I/O|ext4|sda"
请输入密码:
验证成功
[二 10月 20 09:30:04 2026] APIC: Switch to symmetric I/O mode setup
[二 10月 20 09:30:04 2026] acpi PNP0A08:00: _OSC: platform retains control of PCIe features (AE_ERROR)
[二 10月 20 09:30:05 2026] pci 0000:00:1a.0: EHCI: BIOS handoff failed (BIOS bug?) 01010001
[二 10月 20 09:30:06 2026] pci 0000:00:1d.0: EHCI: BIOS handoff failed (BIOS bug?) 01010001
[二 10月 20 09:30:07 2026] sd 4:0:0:0: [sda] 1953525168 512-byte logical blocks: (1.00 TB/932 GiB)
[二 10月 20 09:30:07 2026] sd 4:0:0:0: [sda] Write Protect is off
[二 10月 20 09:30:07 2026] sd 4:0:0:0: [sda] Mode Sense: 00 3a 00 00
[二 10月 20 09:30:07 2026] sd 4:0:0:0: [sda] Write cache: enabled, read cache: enabled, doesn't support DPO or FUA
[二 10月 20 09:30:07 2026] sd 4:0:0:0: [sda] Preferred minimum I/O size 512 bytes
[二 10月 20 09:30:07 2026]  sda: sda1 sda2 sda3 sda4 sda5 sda6 sda7 sda8 sda9 sda10
[二 10月 20 09:30:07 2026] sd 4:0:0:0: [sda] Attached SCSI disk
[二 10月 20 09:30:07 2026] RAS: Correctable Errors collector initialized.
[二 10月 20 09:30:09 2026] uos-trace: get fstype /dev/sda9
[二 10月 20 09:30:09 2026] uos-trace: get fstype /dev/sda9
[二 10月 20 09:30:09 2026] uos-trace: get fstype /dev/sda8
[二 10月 20 09:30:09 2026] uos-trace: get fstype /dev/sda8
[二 10月 20 09:30:09 2026] uos-trace: exec mount -r -t ext4  /dev/sda9 /root
[二 10月 20 09:30:09 2026] EXT4-fs (sda9): mounted filesystem d3cc906c-0a40-48dd-bed4-e8ac92772a7b ro with ordered data mode. Quota mode: none.
[二 10月 20 09:30:09 2026] deepin-immutable-mount-root: root device: /dev/sda9, fstype: ext4
[二 10月 20 09:30:09 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b r/w.
[二 10月 20 09:30:10 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:11 2026] Adding 16777212k swap on /dev/sda8.  Priority:-1 extents:1 across:16777212k SS
[二 10月 20 09:30:11 2026] Error: Driver 'pcspkr' is already registered, aborting...
[二 10月 20 09:30:11 2026] nvidia: module verification failed: signature and/or required key missing - tainting kernel
[二 10月 20 09:30:11 2026] ACPI BIOS Error (bug): Could not resolve symbol [\_SB.PCI0.PEG0._PRT.AR02], AE_NOT_FOUND (20250807/psargs-332)
[二 10月 20 09:30:11 2026] ACPI Error: Aborting method \_SB.PCI0.PEG0._PRT due to previous error (AE_NOT_FOUND) (20250807/psparse-529)
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:28 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:33 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:34 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:34 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:35 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:35 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:35 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:35 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:30:36 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:39:45 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:39:45 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
[二 10月 20 09:39:45 2026] EXT4-fs (sda9): re-mounted d3cc906c-0a40-48dd-bed4-e8ac92772a7b.
iui@iui-PC:~$
    Reply View the author
    avatar
    ꧁༺༽༾ཊN_ick坚ཏ༿༼༻꧂
    deepin
    2026-10-20 10:23
    #10
    It has been deleted!
    avatar
    yuchi2011
    deepin
    2026-10-21 12:03
    #11
    deepin流云：

    用命令更新下看看终端有没有报错，应该是你本地哪个包跟系统依赖冲突了：

    sudo apt update&&sudo apt dist-upgrade

    得到支持后，问题已经顺利解决了。

    Reply View the author