Race Condition: File System Access

在檢查檔案屬性和使用檔案的期間內，能夠被用來發動擴大權限的攻擊。

File access race condition (也稱為 time-of-check)、time-of-use (TOCTOU) race conditions，在以下情況中出現：

1.程式檢查檔案特性時，根據名稱來參照檔案。

2.程式稍後會使用相同的檔案名稱執行檔案系統作業，並假設先前檢查的屬性並未變更。
範例：以下程式呼叫 CBL_CHECK_FILE_EXIST 常式，以在建立檔案之前先檢查檔案是否存在，並執行必要的操作。

  CALL "CBL_CHECK_FILE_EXIST" USING
      filename
      file-details
      RETURNING status-code
  END-CALL

  IF status-code NOT = 0
      MOVE 3 to access-mode
      MOVE 0 to deny-mode
      MOVE 0 to device

      CALL "CBL_CREATE_FILE" USING
          filename
          access-mode
          deny-mode
          device
          file-handle
          RETURNING status-code
      END-CALL
  END-IF

CBL_CHECK_FILE_EXIST 呼叫的運作方式在意料之中，並傳回一個非零值，表示該檔案不存在。不過，因為 CBL_CHECK_FILE_EXIST 和 CBL_CREATE_FILE 都是對檔案名稱進行操作，而不是對檔案控制碼進行操作，所以當 filename 變數傳遞到 CBL_CREATE_FILE 的時候，就不能保證這個變數仍然能夠像傳遞到 CBL_CHECK_FILE_EXIST 的時候那樣參照磁碟上相同的檔案。如果攻擊者在 CBL_CHECK_FILE_EXIST 呼叫後建立 filename，CBL_CREATE_FILE 的呼叫將會失敗，進而導致程式認為該檔案是空的，但實際上它包含由攻擊者控制的資料。

導致這種攻擊的弱點的間隙是在這段時間內，檔案特性經過測試到檔案被使用為止。即使檔案的使用緊接在測試之後，現代的作業系統也無法確認在程式佔用 CPU 前所執行的程式碼數量。攻擊者有多種技術來延長機會時間的長度，以便更容易地發動攻擊。然而，即使機會時間很短，攻擊企圖也可能一而再地重複，直到成功。

這種類型的弱點可能應用於具有 root 權限的程式，以代表無權限使用者執行特定檔案操作，並使用存取測試來確保它沒有使用其根權限來執行操作，這種權限對目前使用者來說在其他情況下是無法取得的。藉由欺騙程式去執行其他情況下不被允許的操作，攻擊者就可能取得提升的權限。