Er is een kwetsbaarheid (CVE-2023-22809) geïdentificeerd in het sudo-pakket, dat wordt gebruikt om de uitvoering van opdrachten namens andere gebruikers te organiseren, waardoor een lokale gebruiker elk bestand op het systeem kan bewerken, waardoor hij of zij op zijn beurt om rootrechten te verkrijgen door /etc/shadow of systeemscripts te wijzigen. Voor misbruik van het beveiligingslek is vereist dat de gebruiker in het sudoers-bestand het recht krijgt om het hulpprogramma sudoedit of “sudo” uit te voeren met de vlag “-e”.
Het beveiligingslek wordt veroorzaakt door het gebrek aan juiste verwerking van “—”-tekens bij het parseren van omgevingsvariabelen die het programma definiëren dat wordt aangeroepen om een bestand te bewerken. In sudo wordt de reeks "-" gebruikt om de editor en de argumenten te scheiden van de lijst met bestanden die worden bewerkt. Een aanvaller kan de reeks '-file' na het editorpad toevoegen aan de omgevingsvariabelen SUDO_EDITOR, VISUAL of EDITOR, waardoor het bewerken van het opgegeven bestand met verhoogde rechten wordt gestart zonder de regels voor bestandstoegang van de gebruiker te controleren.
Уязвимость проявляется начиная с ветки 1.8.0 и устранена в корректирующем обновлении sudo 1.9.12p2. Публикацию обновлений пакетов в дистрибутивах можно проследить на страницах: Debian, Ubuntu, Gentoo, RHEL, SUSE, Fedora, Arch, FreeBSD, NetBSD. В качестве обходного пути защиты можно отключить обработку переменных окружения SUDO_EDITOR, VISUAL и EDITOR, указав в sudoers: Defaults!sudoedit env_delete+=»SUDO_EDITOR VISUAL EDITOR»
Bron: opennet.ru
