Հայտնի է դարձել, որ Linux-ի համար նախատեսված Sudo (super user do) հրամանում խոցելիություն է հայտնաբերվել։ Այս խոցելիության շահագործումը թույլ է տալիս ոչ արտոնյալ օգտատերերին կամ ծրագրերին գերօգտագործողի իրավունքներով հրամաններ կատարել: Նշվում է, որ խոցելիությունը ազդում է ոչ ստանդարտ կարգավորումներով համակարգերի վրա և չի ազդում Linux-ով աշխատող սերվերների մեծ մասի վրա։
Խոցելիությունն առաջանում է, երբ Sudo-ի կազմաձևման կարգավորումներն օգտագործվում են՝ թույլ տալու հրամանները կատարել այլ օգտվողների նման: Բացի այդ, Sudo-ն կարող է կարգավորվել հատուկ ձևով, որի շնորհիվ հնարավոր է հրամաններ գործարկել այլ օգտատերերի անունից, բացառությամբ գերօգտագործողի: Դա անելու համար դուք պետք է համապատասխան ճշգրտումներ կատարեք կազմաձևման ֆայլում:
Խնդրի էությունը կայանում է նրանում, թե ինչպես է Sudo-ն մշակում օգտվողների ID-ները: Եթե հրամանի տողում մուտքագրեք օգտվողի ID -1 կամ դրա համարժեք 4294967295, ձեր գործարկված հրամանը կարող է կատարվել գերօգտագործողի իրավունքներով: Քանի որ նշված օգտվողի ID-ները գաղտնաբառերի տվյալների բազայում չեն, հրամանը գործարկելու համար գաղտնաբառ չի պահանջի:
Այս խոցելիության հետ կապված խնդիրների հավանականությունը նվազեցնելու համար օգտատերերին խորհուրդ է տրվում հնարավորինս շուտ թարմացնել Sudo-ն 1.8.28 կամ ավելի նոր տարբերակի: Հաղորդագրության մեջ նշվում է, որ Sudo-ի նոր տարբերակում -1 պարամետրն այլևս չի օգտագործվում որպես օգտագործողի ID։ Սա նշանակում է, որ հարձակվողները չեն կարողանա օգտագործել այս խոցելիությունը:
Source: 3dnews.ru