सुडो में गंभीर भेद्यता

सेटिंग्स में pwfeedback विकल्प सक्षम होने के साथ sudo, एक हमलावर बफ़र ओवरफ़्लो का कारण बन सकता है और सिस्टम पर अपने विशेषाधिकार बढ़ा सकता है।

यह विकल्प दर्ज किए गए पासवर्ड वर्णों को * प्रतीक के रूप में दृश्यमान रूप से प्रदर्शित करने में सक्षम बनाता है। अधिकांश वितरणों पर यह डिफ़ॉल्ट रूप से अक्षम है। हालाँकि, में लिनक्स टकसाल и प्राथमिक ओएस यह /etc/sudoers में शामिल है।

किसी हमलावर की भेद्यता का फायदा उठाना जरूरी नहीं है सुडो चलाने की अनुमति वाले उपयोगकर्ताओं की सूची में शामिल हों।

भेद्यता मौजूद है sudo से संस्करण 1.7.1 पर 1.8.30. संस्करण भेद्यता 1.8.26-1.8.30 शुरू में यह सवालों के घेरे में था, लेकिन फिलहाल यह निश्चित रूप से ज्ञात है कि वे भी असुरक्षित हैं।

CVE-2019-18634 - इसमें पुरानी जानकारी शामिल है।

संस्करण में भेद्यता ठीक कर दी गई है 1.8.31. यदि अद्यतन करना संभव नहीं है, तो आप इस विकल्प को /etc/sudoers में अक्षम कर सकते हैं:

डिफ़ॉल्ट !pwfeedback

स्रोत: linux.org.ru