Новая ошибка в команде sudo подвергает риску пользователей Linux

Недавно была обнаружена уязвимость в команде Linux sudo (супер пользователь делает). Это может позволить пользователям, которые не имеют прав выполнять команды как корень, Хорошей новостью является то, что не все Linux были затронуты серверы, так как это тип уязвимости, который затрагивает только неформальные конфигурации.

Но прежде всего давайте посмотрим, как работает команда sudo и как ее можно настроить. Когда команды выполняются на операционная система В Linux неавторизованные пользователи могут использовать команду sudo для выполнения команд от имени пользователя root. Основным требованием является то, что они лицензированы или знают пароль, корня.

Команда sudo может быть настроена так, чтобы пользователь выполнять команды от имени другого пользователя, добавляя специальные инструкции в файл конфигурации. Следующие команды позволяют пользователю `test` выполнять команды / usr / bin / vim и / usr / bin / id от имени любого пользователя, кроме root.

Когда пользователь создается в Linux, он получает UID. Пользователи могут использовать эти UID вместо имени пользователя при запуске sudo.

Давайте вернемся к этому сейчас уязвимость, Исследователь безопасности Apple Джо Венникс обнаружил один ошибка который позволяет пользователям запускать команду sudo от имени пользователя root, используя UID «-1» или «4294967295». Например, следующая команда может использовать эту ошибку для запуска пользователя / usr / bin / id от имени root, даже если `test 'отказался сделать это в / etc / sudoers.

Правда в том, что это серьезная ошибка, но важно знать, что она может работать, только если у пользователя есть доступ к команде через файл sudoers. В противном случае эта ошибка не будет иметь никакого эффекта.

Чтобы иметь возможность использовать уязвимость, пользователь должен настроить один командаинструкция sudoer, которая может запускать другие команды.

Хотя это ошибка он, очевидно, мощный, он все еще может использоваться только в неформальных конфигурациях, которые не затронут подавляющее большинство пользователей Linux.

Что пользователи используют инструкции sudoers, лучше всего обновиться до sudo 1.8.28 или позже как можно скорее.