CVE-2026-96512

È stata rilevata una falla in sudo. Quando le regole sudoers utilizzano restrizioni di accesso basate sull'orario NOTBEFORE o NOTAFTER con timestamp privi dell'indicatore di fuso orario finale 'Z', la valutazione dell'orario si basa sulla variabile d'ambiente TZ ereditata dall'utente che effettua la chiamata. Poiché sudo è un programma setuid-root, un utente locale non privilegiato può impostare TZ su uno scostamento di fuso orario estremo per spostare la finestra di autorizzazione fino a circa 25 ore, facendo sì che le regole scadute vengano considerate valide. Ciò consente all'utente di eseguire comandi al di fuori della finestra temporale prevista. L'autenticazione non viene aggirata; è interessato solo il controllo di autorizzazione basato sull'orario.