¿Estás ejecutando un servidor de Linux? Confías en eso Sudo ¿Se utiliza para administrar los privilegios de los usuarios? Si es así, necesitas leer esto Alerta de seguridad de emergenciaTela de lana Dos vulnerabilidades clave Han encontrado Sudoes posible permitir a los atacantes Obtener acceso a la raíz a tu sistema. Estos errores son graves y afectan una amplia gama de versiones de sudo.
¿Qué es sudo?
Sudo (SuperUser DO) es un programa importante sobre sistemas operativos de estilo UNIX (como Linux). Permite al usuario ejecutar comandos como otro usuario (generalmente root), siguiendo un conjunto de políticas de seguridad definidas aquí sudoers documento.
Esta es una herramienta clave para administrar privilegios y mejorar la seguridad en entornos de usuarios múltiples, proporcionando Granularidad privilegiada y Registro de auditoría.
Vulnerabilidad de opción de chroot (CVE-2025-32463)
Esta vulnerabilidad afecta Versiones de sudo 1.9.14 a 1.9.17. este sudo -R (--chroot) La opción está diseñada para permitir que el usuario ejecute comandos en el directorio raíz seleccionado por el usuario, si sudoers documento.
Cómo lo explota un atacante
Los cambios introducidos en sudo 1.9.14 fueron inesperados efecto secundario. El atacante puede Asustar sudo para cargar cualquier biblioteca compartida. Esto se hace creando intenciones maliciosas /etc/nsswitch.conf Archivo en el directorio raíz de su elección.
¿resultado? El atacante puede Ejecute cualquier comando como rootincluso si no sudoers El archivo hace esto.
Esto significa que si su sistema lo admite /etc/nsswitch.confestás en riesgo. El error clave es Fijado en sudo 1.9.17p1.
este chroot La característica también se ha marcado como en desaceleración y se eliminará en futuras versiones, ya que es propensa a los errores.
Vulnerabilidad de la opción de host (CVE-2025-32462)
El segundo defecto crítico afecta una versión más amplia de sudo: 1.8.8 a 1.9.17 incluye. este sudo -h (-host) se debe usar la opción El único Utilizar opciones de lista (-l o --list) Verifique los privilegios del usuario en otros hosts.
Cómo lo explota un atacante
Debido al error, -h No hay restricciones apropiadas en las opciones. Puedes usarlo al ejecutar el comando sudo O usar sudoedit. Efectivamente, este error hace parte del nombre de host sudoers La regla no tiene nada que ver con eso.
Considere este ejemplo: sudoers Estado de la regla sk ostechnix = ALL,usuario Sk Los comandos solo deben ejecutarse como root en los hosts nombrados Ostechnix.
Pero con esta vulnerabilidad, SK puede correr sudo -h ostechnix id existir cualquier Host y obtenga privilegios raíz. Aunque el usuario aún necesita sudoers Archivos, ya no necesitan entradas específicamente para el host actual.
Esta vulnerabilidad afecta particularmente Distribución común sudoers Archivo para múltiples máquinaso los que lo usan Sudoer basado en LDAP (Incluido SSSD). como chroot Error, este problema también es Fijado en sudo 1.9.17p1.
SEX: ¡Actualice su sudo ahora!
Ambas lagunas son Informes y análisis Rich Mirch de la Unidad de Investigación de Network Stratascale (CRU). Stratascale ha hecho sugerencias sobre estos temas.
Los pasos más importantes que puede tomar son Actualice su paquete sudo a la versión 1.9.17p1 o actualice ahora.
- En sistemas como Ubuntu Actualización automática de seguridad Por defecto, generalmente a través de
unattended-upgrades. Estos debería Incluye estas soluciones críticas. Sin embargo, las actualizaciones pueden estar entrelazadas. Siempre lo mejor Verifique manualmente su versión de sudo. - Para usuarios de Debian,
sudoSí No preinstalado por defecto Si establece la contraseña de root durante la instalación. Si no establece la contraseña de root,sudoInstalado. Debian también proporcionaunattended-upgradesUtilizado para reparación segura. La versión fija de Debian Bookworm (Debian 12) es 1.9.13p3-1+DEB12U2.
Además de las actualizaciones: prácticas generales de seguridad
- Minimizar la superficie de ataque: La instalación de paquetes que no necesita puede agregar a la superficie de ataque del sistema. a pesar de
sudoA menudo es muy beneficioso, especialmente en entornos de múltiples usuarios, considerando si es necesario un sistema directo de un solo usuariorootEn algunos casos de uso, el inicio de sesión puede ser suficiente. - Ejecute el servicio como usuario sin entrenamiento: Siempre asegúrese de que sus servidores web y otros servicios se ejecuten como usuarios dedicados y libres privados, no en la raíz de la fuente. Si el servicio se ve comprometido, esto limitará el daño potencial.
- Considere alternativas: Para necesidades simples, doas (De OpenBSD) a menudo se considera una alternativa liviana
sudo.
¡No te retrases! Revise su versión de sudo ahora Y asegúrese de que su sistema esté protegido por estas vulnerabilidades de escalada de privilegios críticos. ¡Manténgase seguro y manténgase actualizado!
Para obtener más detalles, consulte los siguientes enlaces:
