🔔 亲爱的 deepin 用户与社区伙伴们：

近期，我们监控到 sudo 存在一个时间窗口授权绕过漏洞。在特定条件下，攻击者可以让已经过期或尚未生效的 sudo 授权规则被误判为有效，从而在预期时段之外拿到 root 权限。

目前该漏洞的利用技术细节已经公开，鉴于其严重性和广泛影响，为确保您的系统安全，我们建议所有用户尽快升级。

 

01 漏洞信息

漏洞编号： CVE-2026-96512

漏洞描述：该漏洞源于 sudo 对 sudoers 规则中基于时间的访问限制（NOTBEFORE / NOTAFTER）的授权校验缺陷（CWE-863）。当规则中的时间戳未带 UTC 后缀 Z 时，sudo 使用 mktime() 解析该时间，而 mktime() 会读取调用进程的 TZ 环境变量，使时间窗口评估受调用者控制。本地普通用户在被此类时间窗口规则授权时，可通过将 TZ 设置为极端时区偏移（如 UTC+14），使时间窗口前后偏移最多约 25 小时，令已过期或尚未生效的规则被误判为有效，从而在预期时段之外执行原本不应被允许的 sudo 命令，实现本地提权至 root。该漏洞于 2026-09-23 经公开渠道披露（Red Hat 安全公告、oss-security），影响 sudo 1.8.20 至 1.9.17p2 及 main 分支修复前版本；上游修复提交为 1820a34（移除 sudo 工作环境中的 TZ 环境变量）。

漏洞等级：高危（CVSS 7.8）

利用条件：

  1. sudoers 中存在对攻击者生效的 NOTBEFORE 或 NOTAFTER 时间窗口规则，且时间戳未带 UTC 后缀 Z（默认配置通常不含此类规则）；
  2. 攻击者为该规则的授权对象，具备本地已认证用户权限；
  3. 攻击者可在调用 sudo 时控制 TZ 环境变量。

影响范围：所有未更新本次修复的 deepin 25 用户均受影响，建议立即更新升级。

 

02 修复进展

deepin 25（6.6 及 6.18 内核）：

针对 deepin25 的 漏洞修复更新已完成推送 ，请尽快通过控制中心更新，或使用终端命令升级：

sudo apt update && sudo apt dist-upgrade

升级后请重启系统以确保修复生效。

deepin 作为在 DistroWatch 全球排名中表现亮眼、广受全球用户认可的开源操作系统，持续迭代漏洞响应，全力打造稳定可信、安全无忧的开源桌面生态 。

如您在更新或使用过程中遇到任何问题，欢迎前往deepin社区论坛 交流反馈。