CVE-2026-35355uutils coreutils中的install实用程序在文件安装过程中存在Time-of-Check to Time-of-Use (TOCTOU) 竞态条件漏洞。该实现先解除现有目标文件的链接，然后在不使用O_EXCL标志的情况下，基于路径重新创建文件。本地攻击者可利用解除链接与后续创建操作之间的时间窗口，将路径替换为符号链接，从而重定向特权写入操作以覆盖任意系统文件。
该漏洞的核心在于install工具在处理文件安装时的非原子性操作。程序首先执行unlink()系统调用删除目标文件，随后执行open()或其他创建操作写入新文件。由于在创建新文件时未指定O_EXCL标志（该标志能确保如果文件已存在则创建失败），且这两个操作之间存在可被利用的时间差。攻击者可以通过并发运行恶意脚本，监测目标路径。一旦检测到unlink操作完成，攻击者立即在该路径创建一个指向敏感系统文件（如/etc/shadow或系统二进制文件）的符号链接。随后的创建操作将写入攻击者控制的数据，导致特权文件被篡改，可能实现权限提升或拒绝服务。