Weaknesses of type CWE-367

567 results

Condição de corrida entre verificação e uso (TOCTOU)

A aplicação verifica uma condição (ex: permissão, existência de arquivo) e depois usa o recurso baseado naquela verificação, mas entre os dois momentos outro processo pode mudar o estado do recurso. O atacante explora a janela de tempo para alterar o que foi verificado, contornando a validação.

Example

Um programa verifica se um arquivo existe e tem permissão de leitura, depois o abre para processar. Entre a verificação e a abertura, um atacante pode trocar o arquivo por um link simbólico apontando para um arquivo sensível do sistema. O programa abre o link sem perceber a mudança.

How to mitigate

Use operações atômicas que combinam verificação e uso em uma única chamada de sistema (ex: open() com flags exclusivas, fstat() após abrir arquivo). Em casos de acesso a dados compartilhados, implemente locks ou transações que impeçam alterações entre a validação e o uso do recurso.

CVE-2022-36980CRITICALThis vulnerability allows remote attackers to bypass authentication on affected installations of Ivanti Avalanche 6.3.2.3490. Although autheEPSS 83.1%CVE-2024-30088HIGHWindows Kernel Elevation of Privilege VulnerabilityEPSS 68.2%KEVCVE-2024-50379CRITICALApache Tomcat: RCE due to TOCTOU issue in JSP compilationEPSS 44.3%CVE-2023-38146HIGHWindows Themes Remote Code Execution VulnerabilityEPSS 39.5%CVE-2024-0132CRITICALNVIDIA Container Toolkit 1.16.1 or earlier contains a Time-of-check Time-of-Use (TOCTOU) vulnerability when used with default configuration EPSS 37.1%CVE-2025-34027CRITICALVersa Concerto Authentication Bypass File Write Remote Code ExecutionEPSS 36.4%CVE-2024-43452HIGHWindows Registry Elevation of Privilege VulnerabilityEPSS 24.3%CVE-2023-35311HIGHMicrosoft Outlook Security Feature Bypass VulnerabilityEPSS 15.5%KEVCVE-2024-26218HIGHWindows Kernel Elevation of Privilege VulnerabilityEPSS 12.9%CVE-2024-21371HIGHWindows Kernel Elevation of Privilege VulnerabilityEPSS 10.9%CVE-2024-56337CRITICALApache Tomcat: RCE due to TOCTOU issue in JSP compilation - CVE-2024-50379 mitigation was incompleteEPSS 9.0%CVE-2022-29800MEDIUMA time-of-check-time-of-use (TOCTOU) race condition vulnerability was found in networkd-dispatcher. This flaw exists because there is a certEPSS 7.1%CVE-2024-30084HIGHWindows Kernel-Mode Driver Elevation of Privilege VulnerabilityEPSS 5.9%CVE-2024-21433HIGHWindows Print Spooler Elevation of Privilege VulnerabilityEPSS 5.1%CVE-2018-1121LOWprocps-ng, procps is vulnerable to a process hiding through race condition. Since the kernel's proc_pid_readdir() returns PID entries in ascEPSS 4.2%CVE-2020-27252HIGHMedtronic MyCareLink Smart Time-of-check Time-of-use Race ConditionEPSS 3.7%CVE-2025-23359HIGHNVIDIA Container Toolkit for Linux contains a Time-of-Check Time-of-Use (TOCTOU) vulnerability when used with default configuration, where aEPSS 3.6%CVE-2024-39420HIGHAcrobat Reader | Time-of-check Time-of-use (TOCTOU) Race Condition (CWE-367)EPSS 3.5%CVE-2021-32708CRITICALTime-of-check Time-of-use (TOCTOU) Race Condition in league/flysystemEPSS 3.5%CVE-2020-8867MEDIUMThis vulnerability allows remote attackers to create a denial-of-service condition on affected installations of OPC Foundation UA .NET StandEPSS 2.6%