製品・ソフトウェアに関する情報
Vulnerability Search
libcap Project等の複数ベンダの製品におけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性
Title libcap Project等の複数ベンダの製品におけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性
Summary

libcapに脆弱性が見つかりました。ローカルの権限を持たないユーザーが、`cap_set_file()`関数におけるチェック時と使用時の競合状態（TOCTOU）を悪用できます。これにより、親ディレクトリへの書き込み権限を持つ攻撃者は、ファイルの能力設定を自身が管理するファイルにリダイレクトすることが可能になります。その結果、能力が意図しない実行ファイルに注入されたり除去されたりして、権限昇格が発生する恐れがあります。

Possible impacts 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 
Solution

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Publication Date April 9, 2026, midnight
Registration Date April 30, 2026, 12:12 p.m.
Last Update April 30, 2026, 12:12 p.m.
CVSS3.0 : 重要
Score 7
Vector CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Affected System
libcap Project
libcap 
レッドハット
Red Hat Enterprise Linux 10.0
Red Hat Enterprise Linux 8.0
Red Hat Enterprise Linux 9.0
Red Hat OpenShift Container Platform 4.0
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年04月30日]
  掲載		 April 30, 2026, 12:12 p.m.
NVD Vulnerability Information
CVE-2026-4878
Summary

A flaw was found in libcap. A local unprivileged user can exploit a Time-of-check-to-time-of-use (TOCTOU) race condition in the `cap_set_file()` function. This allows an attacker with write access to a parent directory to redirect file capability updates to an attacker-controlled file. By doing so, capabilities can be injected into or stripped from unintended executables, leading to privilege escalation.

Publication Date April 10, 2026, 1:16 a.m.
Registration Date April 15, 2026, 11:34 a.m.
Last Update April 25, 2026, 11:16 a.m.
Related information, measures and tools
Common Vulnerabilities List