Белгилүү эрежелерди колдонууда артыкчылыктарды жогорулатууга мүмкүндүк берген sudoдагы аялуу

Утилитада Sudo, башка колдонуучулардын атынан буйруктардын аткарылышын уюштуруу үчүн колдонулат, аныкталган аялуу (CVE-2019-14287), эгерде sudoers жөндөөлөрүндө эрежелер бар болсо, анда колдонуучунун ID текшерүү бөлүмүндө уруксат берүүчү ачкыч сөздөн кийин “ALL” тамыр укуктары менен иштөөгө ачык тыюу салынган (“... (ALL, !root) ..." ). Алсыздык бөлүштүрүүлөрдөгү демейки конфигурацияларда көрүнбөйт.

Эгерде sudoers жарактуу, бирок практикада өтө сейрек кездешүүчү эрежелерге ээ болсо, кандайдыр бир колдонуучунун UID астында белгилүү бир буйрукту аткарууга мүмкүндүк берген эрежелер болсо, бул буйрукту аткарууга ыйгарым укугу бар чабуулчу белгиленген чектөөнү айланып өтүп, буйрукту аткара алат. тамыр укуктары. Чектөөдөн өтүү үчүн жөн гана UID "-1" же "4294967295" менен орнотууларда көрсөтүлгөн буйрукту аткарууга аракет кылыңыз, бул анын UID 0 менен аткарылышына алып келет.

Мисалы, орнотууларда каалаган колдонуучуга /usr/bin/id программасын каалаган UID астында аткарууга укук берген эреже болсо:

myhost ALL = (БАРДЫК, !root) /usr/bin/id

же белгилүү бир колдонуучу боб үчүн гана аткарууга мүмкүндүк берген опция:

myhost bob = (БАРДЫК, !root) /usr/bin/id

Колдонуучу "sudo -u '#-1' id" аткара алат жана /usr/bin/id утилитасы жөндөөлөрдөгү ачык тыюу салынганына карабастан, тамыр укуктары менен ишке киргизилет. Көйгөй UIDдин өзгөрүшүнө алып келбеген "-1" же "4294967295" өзгөчө маанилерине көңүл бурбай коюудан келип чыгат, бирок sudo өзү UIDди өзгөртпөстөн, тамыр катары иштеп жаткандыктан, максаттуу буйрук да тамыр укуктары менен ишке киргизилген.

SUSE жана openSUSE дистрибуцияларында эрежеде “NOPASSWD” көрсөтүлбөсө, алсыздык бар. эксплуатациялоого болбойт, анткени sudoers'де "Defaults targetpw" режими демейки боюнча иштетилген, ал UIDди сырсөздөр базасына каршы текшерет жана максаттуу колдонуучунун сырсөзүн киргизүүнү сунуштайт. Мындай системалар үчүн чабуул форманын эрежелери болгондо гана ишке ашырылышы мүмкүн:

myhost ALL = (БАРДЫК, !root) NOPASSWD: /usr/bin/id

Маселе чыгарылышта чечилди Sudo 1.8.28. Түзөтүү формада да бар жамаачы. Бөлүштүрүү топтомдорунда алсыздыктар буга чейин эле аныкталган Debian, Arch Linux, SUSE/openSUSE, Ubuntu, Gentoo и FreeBSD. Жазуу учурунда маселе чечилбеген бойдон калууда RHEL и Fedora. Алсыздык Apple компаниясынын коопсуздук изилдөөчүлөрү тарабынан аныкталган.

Source: opennet.ru