CVE-2026-96512

Une faille a été découverte dans sudo. Lorsque les règles sudoers utilisent des restrictions d’accès temporelles NOTBEFORE ou NOTAFTER avec des horodatages omettant l’indicateur de fuseau horaire final « Z », l’évaluation de l’heure dépend de la variable d’environnement TZ héritée de l’utilisateur appelant. Comme sudo est un programme setuid-root, un utilisateur local non privilégié peut définir TZ sur un décalage horaire extrême afin de décaler la fenêtre d’autorisation d’environ 25 heures au maximum, ce qui entraîne le traitement de règles expirées comme si elles étaient valides. Cela permet à l’utilisateur d’exécuter des commandes en dehors de la fenêtre temporelle prévue. L’authentification n’est pas contournée ; seule la vérification de l’autorisation basée sur l’heure est affectée.