Bezpečnostní chyba v sudo (CVE-2017-1000367)

V příkazu sudo od verze 1.8.6p7 do verze 1.8.20 byla nalezena bezpečnostní chyba CVE-2017-1000367. Lokální uživatel s právy spouštět pomocí sudo některý z příkazů se může stat rootem. Chyba je opravena v upstream verzi 1.8.20p1 [reddit].

31.5.2017 08:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[petrfm]

Tak hlavně že ji našli, jinak by se nedala zneužít

[Kate]

To je dobrá logika, dírou v plotě o které nevíš určitě také nic neproleze. Vyšší level už je jen zakrýt si oči a myslet si, že tě nikdo nevidí :)

[petrfm]

Ano, dokud o ní nikdo neví, tak jako by nebyla. A když si zakryješ oči, můžeš se tvářit že o tom nevíš. Alias, co oko nevidí...

[Kate]

A ty sis pochopitelně zcela jist, že když o ní nevíš ty, neví o ní nikdo.

[petrfm]

Když o ní někdo ví, tak už ji "našli"

[JZD]

Vyšší level už je jen zakrýt si oči a myslet si, že tě nikdo nevidí :)

Tohle náhodou zrovna na 100% funguje pokud se použije ručník. Pak Vás nesežere žravá blátotlačka z Traalu.

[lertimir]

Arch už má opravu zahrnutou.Hezké.

[Michal Kubeček]

Ta chyba byla embargovaná do včerejška, vypadá to, že dva týdny od prvního oznámení na neveřejném listu, takže měli dost času si připravit update.

[lertimir]

Bral jsem to spíše tak, že téměř hned, co se objevila v upstreamu, ji Arch procpal do distribuce. (Což ostatní také asi udělali)

[Michal Kubeček]

To je koneckonců význam termínu Coordinated Release Date - a důvod, proč se u kritických bezpečnostních chyb embargo dělá.

[Conscript89]

V RHEL6 se ani neobjevila :) Akorat ve Fedore nejak porad nevidim update :(

[Lukáš Zapletal]

Od rána v testingu https://bodhi.fedoraproject.org/updates/FEDORA-2017-8b7c3e0ab2

[Conscript89]

Asi mam spatny mirror :(

$ rpm -q sudo
sudo-1.8.19p2-1.fc25.x86_64
$ sudo dnf list available --enablerepo updates-testing sudo
Last metadata expiration check: 2:02:45 ago on Wed May 31 19:20:47 2017.
Available Packages
sudo.i686                        1.8.19p2-1.fc25                         updates

[k3dAR]

Arch už má opravu zahrnutou.Hezké.

tak Ubuntu ji melo take od 30.5. (presneji 2017-05-30 15:33:20 UTC) coz je jen o 15minut pozdeji nez Arch (2017-05-30 15:18:44 +0000) ;)

[Petr Tomášek]

No, ona je spíš otázka, jestli je sudo vůbec potřeba. Rozdíl v bezpečnosti oproti tomu, když má člověk vedle terminálu s normálním userem ještě otevřený terminál s rootem, je veškerý žádný. (Pochopitelně, pokud člověk ví, co dělá...)

[Martin Mareš]

Moje řeč... A sudo už nejspíš v počtu security advisories překonalo i sendmail ;)

[Michal Kubeček]

To je pohled zdeformovaný distribucemi typu Ubuntu, kde se sudo zneužívá k něčemu úplně jinému, než k čemu bylo původně určeno. Primárně slouží sudo k tomu, aby root umožnil konkrétním uživatelům spouštět konkrétní příkazy s jinou identitou (aniž by museli znát heslo cílového uživatele a mít tak možnost pod ním spouštět cokoli).

[Martin Mareš]

Problém je, že tohle v podstatě nelze provést bezpečně. Rozhraní mezi rodičovským procesem a jeho potomky je v UNIXu velice široké (file deskriptory, environment, current directory, signály, ...), takže je velmi těžké dopředu odhadnout, k čemu všemu jde daný příkaz donutit. Proto nastavit setuid programu, který na to není stavěný, obvykle skončí bezpečnostní dírou, a spouštění přes sudo na tom nebývá o moc lépe.

[Michal Kubeček]

Reagoval jsem hlavně na tu myšlenku, že sudo lze nahradit terminálem spuštěným pod rootem. Že není lehké domyslet všechny bezpečnostní důsledky povolení spustit konkrétní příkaz s vyššími právy, to je samozřejmě pravda.

[petrfm]

Sudo je prima a kdyby nebyly díry v něm, stejně budou jinde. To máš těžko, v linuxu vždycky budou díry, tak na co si komplikovat život