Zehfbûna di sudo de ku dema ku qaîdeyên taybetî bikar tîne zêdekirina îmtiyazê dihêle

Di kargêriyê de Sudo, ji bo organîzekirina pêkanîna fermanan li ser navê bikarhênerên din tê bikar anîn, nas kirin lawazbûn (CVE-2019-14287), ku destûrê dide te ku hûn fermanan bi mafên root bicîh bikin, heke di mîhengên sudoers de qaîdeyên ku di beşa kontrolkirina nasnameya bikarhêner de piştî peyva destûr "ALL" heye, qedexeyek eşkere ya xebitandina bi mafên root heye ("... (HEMÛ, !root) ..."). Zeaftî di veavakirinên xwerû yên di belavkirinan de xuya nake.

Ger sudoers xwedan qaîdeyên derbasdar, lê di pratîkê de pir kêm kêm in, ku destûrê dide darvekirina fermanek diyarkirî di bin UID-ya bikarhênerek ji bilî root de, êrîşkarek ku xwediyê desthilatdariya pêkanîna vê fermanê ye, dikare sînorkirina destnîşankirî derbas bike û fermanê bi cîbicî bike. mafên root. Ji bo derbaskirina sînorkirinê, tenê hewl bidin ku emrê ku di mîhengan de hatî destnîşan kirin bi UID "-1" an "4294967295", ku dê bibe sedema pêkanîna wê bi UID 0-ê pêk bîne.

Mînakî, heke di mîhengan de rêgezek hebe ku mafê bikarhênerek dide ku bernameyê /usr/bin/id di bin her UID-ê de bicîh bike:

myhost HEMÛ = (HEMÛ, !root) /usr/bin/id

an vebijarkek ku destûrê dide darvekirinê tenê ji bo bobek bikarhênerek taybetî:

myhost bob = (HEMÛ, !root) /usr/bin/id

Bikarhêner dikare "sudo -u '#-1' id" bike û amûra /usr/bin/id dê wekî root were destpêkirin, tevî ku di mîhengan de qedexe ye. Pirsgirêk ji ber çavnegirtina nirxên taybetî yên "-1" an "4294967295", ku rê nade guhertinek di UID-ê de, çêdibe, lê ji ber ku sudo bixwe jixwe wekî root dimeşîne, bêyî ku UID-ê biguhezîne, fermana armanc jî heye. bi mafên root ve hatî destpêkirin.

Di belavokên SUSE û openSUSE de, bêyî ku di qaîdeyê de "NOPASSWD" diyar bike, qelsiyek heye. nayê îstîsmarkirin, ji ber ku di sudoers de moda "Defaults targetpw" ji hêla xwerû ve tête çalak kirin, ku UID-ê li hember databasa şîfreyê kontrol dike û ji we dipirse ku hûn şîfreya bikarhênerê armanc binivîsin. Ji bo pergalên weha, êrîşek tenê dikare were kirin ger rêzikên formê hebin:

myhost HEM = (HEMÛ, !root) NOPASSWD: /usr/bin/id

Pirsgirêk di berdanê de hate çareser kirin Sudo 1.8.28. Rastkirin di formê de jî heye pîne. Di kîtên belavkirinê de, qelsî jixwe tê rast kirin Debian, Arch Linux, SUSE / openSUSE, Ubuntu, Gentoo и FreeBSD. Di dema nivîsandinê de, pirsgirêk di nav de bêserûber dimîne RHEL и Fedora. Zelalbûn ji hêla lêkolînerên ewlehiyê yên Apple ve hate nas kirin.

Source: opennet.ru