Una vulnerabilidad de seguridad de severidad alta en Sudo podría permitir que atacantes locales eviten las restricciones de acceso basadas en el tiempo y ejecuten comandos con privilegios elevados.

Identificada como CVE-2026-96512, el fallo afecta a las versiones de Sudo desde la 1.8.20 hasta la 1.9.17p2 e implica un manejo inseguro de la variable de entorno TZ.

Sudo es una utilidad de Linux ampliamente utilizada que te permite, como usuario aprobado, ejecutar comandos como otro usuario, normalmente root. Los administradores pueden usar reglas de sudoers para limitar cuándo se pueden ejecutar comandos privilegiados.

Estas reglas pueden incluir condiciones NOTBEFORE y NOTAFTER, evitando el acceso antes de una fecha definida o después de que expire una ventana de acceso.

El fallo permite que usuarios sin privilegios manipulen las restricciones de zona horaria de Sudo porque parse_gentime() depende de mktime() y de la variable TZ del entorno para procesar marcas de tiempo sin zonas horarias explícitas.

Debido a que Sudo es un programa setuid-root e inicialmente hereda el entorno del usuario que lo invoca, un usuario local puede definir un valor de zona horaria especialmente diseñado antes de lanzar un comando Sudo.

Un desplazamiento de zona horaria POSIX extremo, como TZ=XXX24, puede desplazar la interpretación de Sudo sobre la hora de autorización aproximadamente 25 horas en cualquier dirección. Esto podría hacer que una regla NOTAFTER expirada parezca activa o permitir que una regla NOTBEFORE se utilice antes de su hora de inicio prevista.

Vulnerabilidad de Seguridad de Sudo

El fallo no evade la autenticación por contraseña ni los Módulos de Autenticación Enchufables, comúnmente llamados PAM. Un atacante aún debe ser un usuario local autenticado y ya debe tener una regla de Sudo que dependa de las restricciones basadas en el tiempo afectadas.

Sin embargo, en los casos donde los administradores utilizan ventanas de tiempo para conceder acceso temporal a comandos sensibles, el error puede socavar ese control de seguridad y permitir la escalada de privilegios más allá del horario permitido. La función de autorización basada en el tiempo afectada se introdujo en Sudo 1.8.20.

El registro de vulnerabilidades de Red Hat clasifica el problema como de severidad alta y señala que los sistemas Linux que utilizan versiones vulnerables de Sudo pueden estar expuestos cuando las condiciones NOTBEFORE o NOTAFTER se configuran sin información explícita de la zona horaria. El investigador de seguridad independiente Ermenson Junior informó del problema el 28 de agosto de 2026.

El mantenedor de Sudo, Todd Miller, implementó una corrección en la rama principal del proyecto el 29 de agosto de 2026. El parche elimina la variable TZ controlada por el usuario del entorno de trabajo de Sudo al establecer la zona horaria, evitando que las llamadas repetidas a mktime() utilicen una zona horaria proporcionada por un atacante. En el momento de la divulgación, la corrección aún no se había incluido en una versión lanzada de Sudo 1.9.18.

Deberías identificar los sistemas que ejecuten Sudo 1.8.20 hasta 1.9.17p2, revisar las políticas de sudoers en busca de entradas NOTBEFORE y NOTAFTER, y aplicar las actualizaciones proporcionadas por el proveedor una vez que estén disponibles.

También deberías utilizar marcas de tiempo UTC explícitas o desplazamientos de zona horaria en las reglas de autorización limitadas en el tiempo siempre que sea posible, reduciendo la ambigüedad durante los cálculos de tiempo.