Sudo obsahuje bezpečnostní díru

Byla objevena bezpečnostní díra v programu sudo. Kvůli ní je při vhodné konfiguraci možné spustit libovolný kód s právy roota. Pokud máte program ve verzích 1.6.9p21, 1.7.2p4 nebo vyšších, jste v bezpečí. Zdroj: root.cz.

1.3.2010 22:08 | Tomáš Heger (geckon) | Bezpečnostní upozornění

Komentáře

[merlyn]

Rek bych ze pri urcite konfiguraci to fakt de:

ALL     ALL=(ALL) NOPASSWD: SETENV: ALL

Sice sem to necet, ale objev takoveto "chyby" mi pride dost ujetej

[Michal Kubeček]

Tak si to raději zkuste přečíst…

[Salamek]

sudo je na howno, ja to z neho cejtl uz pri prvnim setkani

[Piškot]

Geniální příspěvek, hned ho přestanu používat. Děkuji

[Salamek]

asi jste to nepochopil , ale ono to nebylo mysleno prilis vazne, ani to nemelo mit jakykoliv pouzitelny co strizlivy obsah, priste kvuli vam pouziji ""

[Piškot]

A já více jemnocitu když už je ta půlnoc :) Je čas na "sudo halt"

[Luboš Doležel (Doli)]

Pokud popis správně chápu, nejde o UID roota, ale jen GID.

[Michal Kubeček]

Já to pochopil tak, že pokud povolíte spouštění sudoedit s určitými právy, pak lze se stejnými právy spustit jakýkoli spustitelný soubor, který se jmenuje stejně. Takže by to mělo fungovat i s UID 0.

[Michal Kubeček]

Opravdu to funguje, právě jsem si to vyzkoušel:

1. Přidal jsem do sudoers řádek

  mike  ALL = sudoedit /etc/hosts

2. Vytvořil jsem ve svém domácím adresáři skript, který spustí id.

3. Zkusil jsem ho spustit přes sudo:

  mike@lion:~> sudo ./sudoedit /etc/hosts
  mike's password:
  uid=0(root) gid=0(root) skupiny=0(root)

[merlyn]

Nejak nevidim rozdil oproti http://www.abclinuxu.cz/zpravicky/sudo-obsahuje-bezpecnostni-diru#1

[Michal Kubeček]

To je ovšem váš problém. To, co uvádíte tam, by příčetný systémák do sudoers nedal a pokud ano, tak si následky plně zaslouží. Že tím umožní komukoli spustit cokoli pod rootem, by totiž byla jeho chyba, protože chování sudo je v takovém případě plně v souladu s dokumentací. To, co uvádím já, je naprosto přirozené využití sudoedit a skutečnost, že sudo umožní spustit něco jiného, než má, je chyba programu.

[merlyn]

proc mam furt pocit, ze ani

mike  ALL = sudoedit /etc/hosts

by pricetnej admin do sudoers nedal... (/usr/bin/sudoers by to imho naprosto jednoduse resilo).

[pasmen]

Souhlas.

[Michal Kubeček]

Teď už vůbec nechápu, co se snažíte říct. Co je /usr/bin/sudoers a co by měl řešit?

[merlyn]

No, /usr/bin/sudoers je umisteni sudoers. Rek bych ze problem spociva v tom, ze tam neni zadana cesta a tudiz se to da spustit zkamakoliv. Su presvedcenej o tom, ze kdyz by se napsalo /usr/bin/sudoers misto sudoers, tak by se problem nevyskytl. (ok, mozna by fungovalo ./usr/bin/sudoers, to by pak skutecne byla chyba, ale pak nevim proc by se psalo o sudoers a ./sudoers.)

[Michal Kubeček]

Pořád nechápu, o čem to mluvíte. Zatím jsem sudoers nikdy neviděl jinde než v /etc a kromě toho, že nevidím důvod dávat konfigurační soubory do adresáře, který je určen pro programy, nenapadá mne ani důvod, proč by to mělo něco řešit.

[Michal Kubeček]

Aha, teď mi to konečně došlo: vy píšete sudoers a ve skutečnosti myslíte sudoedit. Takže si, prosím, přečtěte dokumentaci. Podle té je sudoedit je speciální symbol, který znamená něco jiného než spouštění programu. Pokud povolíte pseudopříkaz sudoedit s nějakým argumentem, tak tím umožníte uživateli editovat konkrétní soubor jakoby pod rootem (resp. jiným cílovým uživatelem) tím, že sudo ve skutečnosti spustí editor na jeho kopii pod normálním uživatelem a po skončení přepíše původní soubor (podobně jako to dělá třeba vipw nebo visudo). Příkaz sudoedit je pak obvykle link na sudo, který existuje jen proto, aby bylo kromě sudo -e psát také sudoedit. Uvedení /usr/bin/sudoedit by bylo něco jiného, i když jako částečná náhražka by to asi fungovat mohlo.

[merlyn]

jo, sry, u mych prispevku %s/sudoers/sudoedit/g, jinak vsechno plati.

Uvedení /usr/bin/sudoedit by bylo něco jiného, i když jako částečná náhražka by to asi fungovat mohlo.

Bylo by to stejny, a bylo by to reseni. Nicmene podle toho co pisete to skutecne chyba v sudo je (a dost lamerska).

[Michal Kubeček]

Ta ne, unáhlil jsem se. S /usr/bin/sudoedit to opravdu nefunguje, vyzkoušejte si to. Je to logické, uvedení /usr/bin/sudoedit vám pouze dovolí, abyste spustil sudoedit pod rootem, ale vzhledem k tomu, že je to jen link na sudo, tak pod rootem běží tak jako tak (kvůli SUID bitu). Pak ale sudo zkontroluje, jestli máte oprávnění pro "sudoedit" (což je speciální symbol, ne jméno souboru nebo cesta k němu) a to nemáte.

[merlyn]

Mate pravdu, zkusil sem to a opravdu to nejde. Omlouvam se.

[Michal Kubeček]

Teď mi došlo, že máte na mysli CVE-2010-0427, zatímco já mluvil o CVE-2010-0426. :-)

[Mystify playboy]

Program ktorý slúži na spúšťanie programov ako root, spustí ľibovolný kód ako root, takto je konečne program ktorý robí čo má a ja poznám aj tú vhodnú kombináciu, sú to správne meno a heslo

[xurpha]

Díky ní je při vhodné konfiguraci možné spustit libovolný kód s právy roota.

A to jako má být něco pozitivního??? Viz např. http://www.e-ott.info/2008/02/29/rozdil-mezi-diky-kvuli-apod.

[Eulálius]

Z pohledu útočníka je to poměrně pozitivní věc. Je to použité správně, autor tím dává najevo, na které straně stojí

[merlyn]

to je degenerace anglictinou... (kvuli samoze maji, nez se nekdo zacne ohanet, ale anglicky mluvici ementi to fakt prakticky nepouzivaji).

[l4m4]

To zase ne, due to se používá poměrně dost, i když je u nich stejně jako u nás dost dementů, kteří za všechno děkují.

[Tomáš Heger (geckon)]

Opraveno, díky.

[omg]

grep /usr/include -re HAVE_INITGROUPS

pokud je tam prazdno, tak bych byl v klidu.