网易首页 > 网易号 > 正文 申请入驻

【安全圈】不用密码就能获取root权限?Sudo被曝新漏洞

0
分享至

Sudo、漏洞

“新的漏洞通告发了!快喊运维去打补丁。”

运维:

虽然运维惨兮兮,但“这可能是近期内最需要重视的sudo漏洞。”因为这次的Sudo漏洞CVE-2021-3156能够允许任何本地用户不需要身份验证就可以获得root权限。

任何本地用户都可以获取root权限

Sudo是一个Unix程序,可以让系统管理员为sudoers文件中列出的普通用户提供有限的root权限,同时保留其活动日志。它按照“最小特权原则”工作,在该原则下,该程序仅授予人们足够完成工作的权限,而不会损害系统的整体安全。

当在类似Unix的OS上执行命令时,非特权用户如果具有权限或知道超级用户的密码,就可以使用sudo命令来执行root权限命令。通过将sudoers配置文件包括在内,还可以将Sudo设置为允许普通用户像其他任何超级用户一样运行命令。

Qualys的安全研究人员发现了名为“Baron Samedit”(CVE-2021-3156)的Sudo提权漏洞,该漏洞研究人员于1月13日披露了此漏洞,并确保在公开发现内容之前先发布补丁程序。

Qualys研究人员认为,此问题是任何本地用户(普通用户和系统用户,无论是否在sudoers文件中列出)都可以利用基于堆的缓冲区溢出,攻击者无需知道用户密码即可获得root权限。

Sudo错误地转义了参数中反斜杠,从而导致缓冲区溢出。

1.9.5p2更改日志显示:“通常,通过外壳(sudo -s或sudo -i)运行命令时,sudo会转义特殊字符。”“但是,也可以使用-s或-i标志运行sudoedit,在这种情况下,实际上并没有进行转义,这使得缓冲区溢出成为可能。”

Qualys针对CVE-2021-3156漏洞进行了三次测试,以展示潜在的攻击者如何成功利用此漏洞。使用这些漏洞,研究人员能够在多个Linux发行版上获得完整的root权限,包括Debian 10(Sudo 1.8.27),Ubuntu 20.04(Sudo 1.8.31)和Fedora 33(Sudo 1.9.2)。

根据Qualys的说法,攻击者在Sudo支持的其他操作系统和发行版也可能利用该漏洞。

Qualys在周二发布的CVE-2021-3156安全公告中提供了有关如何利用CVE-2021-3156的更多技术细节。

漏洞在被披露前已修复

该漏洞是9年前(2011年7月)在Sudo程序中引入的,提交为8255ed69。

影响版本包含:

sudo:sudo: 1.8.2 - 1.8.31p2

sudo:sudo: 1.9.0 - 1.9.5p1

Sudo贡献者在今天早些时候发布的sudo 1.9.5p2版本中已修复了漏洞,与此同时Qualys公开了他们的发现。

要测试系统是否易受攻击,必须以非root用户身份登录并运行“ sudoedit -s / ”命令。易受攻击的系统将引发以“ sudoedit:”开头的错误提示,而已修补系统将显示以“ usage:”开头的错误提示。

安全版本

sudo => 1.9.5p2

检测方式

1、以非root用户身份登录系统,运行命令“sudoedit -s /”

2、如果系统容易受到攻击,它将以“sudoedit:”开头的错误作为响应。如果对系统进行了修补,它将以“usage:”开头的错误作为响应

修复方案

目前官方已在sudo新版本1.9.5p2中修复了该漏洞,请受影响的用户尽快升级版本进行防护,官方下载链接:https://www.sudo.ws/download.html

参考链接

https://www.sudo.ws/download.html

https://blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit

建议

使用Sudo且将root权限委派给其用户的系统管理员应立即升级到sudo 1.9.5p2或更高版本。

在2019年,另一个Sudo漏洞(漏洞名称为 CVE-2019-14287 )允许无特权的用户以root身份执行命令。

幸运的是,该缺陷只能在非标准配置中利用,这意味着大多数运行易受攻击的Sudo版本的系统都不会受到影响。

END

特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.

相关推荐
热点推荐
“穷鬼套餐”在一线城市开始流行了

“穷鬼套餐”在一线城市开始流行了

上海转型发布
2024-11-12 08:05:35
韦伯望远镜发现外星球的城市灯光?这是真的吗?

韦伯望远镜发现外星球的城市灯光?这是真的吗?

窥探宇宙1
2024-11-14 13:30:03
河南,来了一个紧急刹车!

河南,来了一个紧急刹车!

古装影视解说阿凶
2024-11-14 19:21:21
83岁高仓健去世后,将40亿遗产全给保姆。保姆:我陪了他17年

83岁高仓健去世后,将40亿遗产全给保姆。保姆:我陪了他17年

书画艺术收藏
2024-11-14 20:00:06
库里生涯每分钟纯分超乔丹独占历史第1 詹姆斯第3杜兰特第4!

库里生涯每分钟纯分超乔丹独占历史第1 詹姆斯第3杜兰特第4!

直播吧
2024-11-14 10:03:20
丁浩谢科辣手摧花三星杯崔精金恩持止步16强 柯洁明日大战申真谞

丁浩谢科辣手摧花三星杯崔精金恩持止步16强 柯洁明日大战申真谞

劲爆体坛
2024-11-14 16:28:08
小米捅了格力的老窝

小米捅了格力的老窝

金角财经
2024-11-13 16:57:04
才播2集,就全国收视第一,不愧是你们盼了4年的黑马剧!

才播2集,就全国收视第一,不愧是你们盼了4年的黑马剧!

蓝莓影视推荐
2024-11-14 13:51:34
这一次,姚明的“新身份”让人刮目相看,他终于走上了另一条大道

这一次,姚明的“新身份”让人刮目相看,他终于走上了另一条大道

橘子大娱社
2024-11-14 22:30:02
研究发现:人类大脑和宇宙高度相似,这意味着什么?

研究发现:人类大脑和宇宙高度相似,这意味着什么?

观察宇宙
2024-11-13 21:46:07
1.65万亿元!央行发布

1.65万亿元!央行发布

中国房地产报官方号
2024-11-14 16:46:19
不服高人有罪6:加代给上官林面子

不服高人有罪6:加代给上官林面子

金昔说故事
2024-11-14 21:19:41
何炅谢娜私下聚餐曝光,娱乐圈真友情跨越时光,快本记忆重现

何炅谢娜私下聚餐曝光,娱乐圈真友情跨越时光,快本记忆重现

明星爆料客
2024-11-14 15:34:10
“喝酒四巨头”:一年全没,有的去世当天喝4瓶白酒,都不满36岁

“喝酒四巨头”:一年全没,有的去世当天喝4瓶白酒,都不满36岁

梦录的西方史话V
2024-11-12 08:00:28
笑不活了,广东是得罪了冬天吗?还是全国瞒着广东过冬?评论炸锅

笑不活了,广东是得罪了冬天吗?还是全国瞒着广东过冬?评论炸锅

奇特短尾矮袋鼠
2024-11-13 14:31:09
开播人气破9千万,《大话西游》续作爆火,周星驰又降维打击?

开播人气破9千万,《大话西游》续作爆火,周星驰又降维打击?

毒舌电影
2024-11-14 16:33:19
范冰冰真敢穿!蛇蝎美人造型吓死人,这是死亡造型最新挑战?

范冰冰真敢穿!蛇蝎美人造型吓死人,这是死亡造型最新挑战?

老巢百货
2024-11-14 18:26:28
失去中年男性用户的丰田汉兰达,降价10万仍止不住销量下滑

失去中年男性用户的丰田汉兰达,降价10万仍止不住销量下滑

金融界
2024-11-14 17:32:18
棱镜门事件内幕,美国派16名特种兵进入澳门,斯若登命运扭转!

棱镜门事件内幕,美国派16名特种兵进入澳门,斯若登命运扭转!

板栗说事
2024-10-13 12:40:43
她大器晚成,错过靳东后,嫁给父亲看中的人,如今被婆家宠成宝

她大器晚成,错过靳东后,嫁给父亲看中的人,如今被婆家宠成宝

博览历史
2024-11-13 18:16:21
2024-11-14 23:20:49
安全圈
安全圈
国内首家大安全概念新媒体
4951文章数 4683关注度
往期回顾 全部

科技要闻

官宣!极氪领克合并,吉利走向大整合

头条要闻

小区电梯停电孕妇送医后流产 住建局:两者无直接关联

头条要闻

小区电梯停电孕妇送医后流产 住建局:两者无直接关联

体育要闻

本季英超最炸裂的瓜,由一名裁判制造

娱乐要闻

娜扎张云龙恋情曝光!甜蜜细节被扒

财经要闻

"机构举报游资"导致A股大跌?

汽车要闻

七块屏幕四座布局 仰望U7中式百万座舱

态度原创

时尚
健康
房产
本地
亲子

秋冬穿黑色,这4个技巧照着穿更时髦

花18万治疗阿尔茨海默病,值不值?

房产要闻

左小鹏右网易!天河智慧城地块产品怎么打,值得期待!

本地新闻

重庆记忆|别再CityWalk了 来云端之眼CityClimb

亲子要闻

弟弟不小心被哥哥撞到,下一秒就直接躺在地上

无障碍浏览 进入关怀版