CVE-2026-96512

In sudo wurde eine Schwachstelle gefunden. Wenn sudoers-Regeln zeitbasierte Zugriffsbeschränkungen mit NOTBEFORE oder NOTAFTER und Zeitstempeln verwenden, bei denen der abschließende Zeitzonenindikator „Z“ fehlt, stützt sich die Zeitbewertung auf die vom aufrufenden Benutzer geerbte Umgebungsvariable TZ. Da sudo ein setuid-root-Programm ist, kann ein unprivilegierter lokaler Benutzer TZ auf einen extremen Zeitzonenversatz setzen, um das Autorisierungszeitfenster um bis zu etwa 25 Stunden zu verschieben, sodass abgelaufene Regeln als gültig behandelt werden. Dadurch kann der Benutzer Befehle außerhalb des vorgesehenen Zeitfensters ausführen. Die Authentifizierung wird nicht umgangen; betroffen ist nur die zeitbasierte Autorisierungsprüfung.