Er is een kwetsbaarheid (CVE-2023-22809) geïdentificeerd in het sudo-pakket, dat wordt gebruikt om de uitvoering van opdrachten namens andere gebruikers te organiseren, waardoor een lokale gebruiker elk bestand op het systeem kan bewerken, waardoor hij of zij op zijn beurt om rootrechten te verkrijgen door /etc/shadow of systeemscripts te wijzigen. Voor misbruik van het beveiligingslek is vereist dat de gebruiker in het sudoers-bestand het recht krijgt om het hulpprogramma sudoedit of “sudo” uit te voeren met de vlag “-e”.
Het beveiligingslek wordt veroorzaakt door het gebrek aan juiste verwerking van “—”-tekens bij het parseren van omgevingsvariabelen die het programma definiëren dat wordt aangeroepen om een bestand te bewerken. In sudo wordt de reeks "-" gebruikt om de editor en de argumenten te scheiden van de lijst met bestanden die worden bewerkt. Een aanvaller kan de reeks '-file' na het editorpad toevoegen aan de omgevingsvariabelen SUDO_EDITOR, VISUAL of EDITOR, waardoor het bewerken van het opgegeven bestand met verhoogde rechten wordt gestart zonder de regels voor bestandstoegang van de gebruiker te controleren.
De kwetsbaarheid doet zich voor sinds branch 1.8.0 en is opgelost in de corrigerende update sudo 1.9.12p2. De publicatie van pakketupdates in distributies kan worden gevolgd op de pagina's: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch, FreeBSD, NetBSD. Als beveiligingsoplossing kunt u de verwerking van de omgevingsvariabelen SUDO_EDITOR, VISUAL en EDITOR uitschakelen door in sudoers het volgende op te geven: Defaults!sudoedit env_delete+="SUDO_EDITOR VISUAL EDITOR"
Bron: opennet.ru