Sudo haavatavus võimaldab käitada käske superkasutaja õigustes Linuxi seadmetes.

Teadaolev on, et Linuxi Sudo (super user do) käsus avastati haavatavus. Selle haavatavuse kasutamine võimaldab mitteprivileegitud kasutajatel või programmide kaudu käivitada käske superkasutaja õigustega. Rõhutatakse, et haavatavus mõjutab süsteeme, kus on ebastandardseid seadistusi, ja ei puuduta enamikku Linuxi operatsioonisüsteemiga töötavatest serveritest.

Haavatavus esineb juhtudel, kui Sudo konfiguratsiooniseaded võimaldavad käivitada käske teiste kasutajate nimel. Samuti võib Sudo olla konfigureeritud eriliselt, mis võimaldab käitada käske teiste kasutajate nimel, välja arvatud superkasutaja. Selle jaoks on vajalik teha vastavad muudatused konfiguratsioonifailis.

Probleemi tuum on selles, kuidas Sudo käsitleb kasutajaidentifikaatoreid. Kui sisestate käsureale kasutajaidentifikaatori -1 või selle ekvivalent 4294967295, võivad käivitatavad käsud olla täidetud superkasutaja õigustes. Kuna nimetatud kasutajaidentifikaatorid ei ole paroolide andmebaasis registreeritud, ei ole käsu täitmiseks vajalik parooli sisestamine.

Probleemide tekkimise tõenäosuse vähendamiseks seoses nimetatud haavatavusega soovitatakse kasutajatel võimalikult kiiresti uuendada Sudo versioonile 1.8.28 või uuemale. Teates öeldakse, et uuemas Sudo versioonis ei kasutata parameetrit -1 enam kasutajaidentifikaatorina. See tähendab, et kurjategijad ei saa seda haavatavust ära kasutada.  

Allikas: 3dnews.ru