CVE-2026-35377uutils coreutils中的env工具由于逻辑错误，在使用-S选项处理命令行参数时，对单引号内的反斜杠处理不当。当遇到如\a或\x等序列时，程序会错误地判定为无效序列并直接退出，返回状态码125。这与GNU env的标准行为不一致，导致依赖该行为的自动化脚本和工作流程中断，造成本地拒绝服务攻击风险。
该漏洞位于uutils coreutils包的env实用程序中，具体影响其解析命令行参数的逻辑。根据GNU env的标准规范，当使用-S（split-string）选项时，单引号内的反斜杠字符应被视为字面量，仅有两个例外：反斜杠本身和单引号。然而，uutils的实现引入了额外的验证步骤，试图识别转义序列。当解析器遇到单引号内包含的、在GNU规范中视为字面量但在uutils逻辑中未定义的序列（例如\a表示响铃或\x表示十六进制）时，会触发“invalid sequence”错误。这导致程序立即终止并返回错误代码125。由于这种兼容性缺失，任何依赖GNU env标准行为的自动化脚本、系统管理工具或CI/CD流水线在处理特定输入时都会意外崩溃，攻击者可利用此点造成本地服务的可用性受损。