सूडो में भेद्यता कमांड को लिनक्स उपकरणों पर रूट के रूप में निष्पादित करने की अनुमति देती है

यह ज्ञात हुआ कि लिनक्स के लिए सूडो (सुपर यूजर डू) कमांड में एक भेद्यता की खोज की गई थी। इस भेद्यता का शोषण वंचित उपयोगकर्ताओं या प्रोग्रामों को सुपरयूज़र अधिकारों के साथ कमांड निष्पादित करने की अनुमति देता है। यह ध्यान दिया गया है कि भेद्यता गैर-मानक सेटिंग्स वाले सिस्टम को प्रभावित करती है और लिनक्स चलाने वाले अधिकांश सर्वरों को प्रभावित नहीं करती है।

भेद्यता तब होती है जब सूडो कॉन्फ़िगरेशन सेटिंग्स का उपयोग अन्य उपयोगकर्ताओं की तरह कमांड निष्पादित करने की अनुमति देने के लिए किया जाता है। इसके अलावा, सूडो को एक विशेष तरीके से कॉन्फ़िगर किया जा सकता है, जिसके कारण सुपरयूजर के अपवाद के साथ, अन्य उपयोगकर्ताओं की ओर से कमांड चलाना संभव है। ऐसा करने के लिए, आपको कॉन्फ़िगरेशन फ़ाइल में उचित समायोजन करने की आवश्यकता है।

समस्या की जड़ सूडो द्वारा उपयोगकर्ता आईडी को संभालने के तरीके में निहित है। यदि आप कमांड लाइन पर यूजर आईडी -1 या इसके समकक्ष 4294967295 दर्ज करते हैं, तो आपके द्वारा चलाया गया कमांड सुपरयूजर अधिकारों के साथ निष्पादित किया जा सकता है। क्योंकि निर्दिष्ट उपयोगकर्ता आईडी पासवर्ड डेटाबेस में नहीं हैं, इसलिए कमांड को चलाने के लिए पासवर्ड की आवश्यकता नहीं होगी।

इस भेद्यता से संबंधित समस्याओं की संभावना को कम करने के लिए, उपयोगकर्ताओं को जल्द से जल्द सूडो को संस्करण 1.8.28 या बाद के संस्करण में अपडेट करने की सलाह दी जाती है। संदेश में कहा गया है कि सूडो के नए संस्करण में, -1 पैरामीटर का उपयोग अब उपयोगकर्ता आईडी के रूप में नहीं किया जाता है। इसका मतलब यह है कि हमलावर इस भेद्यता का फायदा नहीं उठा पाएंगे।  

स्रोत: 3dnews.ru