QCon北京「鸿蒙专场」火热来袭!即刻报名,与创新同行~ 了解详情
写点什么

Linux 用户注意了:Linux Sudo 被曝漏洞

  • 2019-10-16
  • 本文字数:1125 字

    阅读完需:约 4 分钟

Linux用户注意了:Linux Sudo被曝漏洞

作为安装在几乎所有基于 UNIX 和 Linux 操作系统上的核心命令,Sudo 是最重要、最强大且最常用的实用程序之一。



近日,安全专家发现 Sudo 中出现一个新漏洞,该漏洞是 sudo 安全策略绕过问题,可导致恶意用户或程序在目标 Linux 系统上以 root 身份执行任意命令。


Sudo 的全称是“superuserdo”,它是 Linux 系统管理指令,允许用户在不需要切换环境的前提下以其它用户的权限运行应用程序或命令,通常是以 root 用户身份运行命令,以减少 root 用户的登录和管理时间,同时提高安全性。


幸运的是,该漏洞仅在非标准配置中有效,并且大多数 Linux 服务不受影响。


据悉,这个漏洞的编号是 CVE-2019-14287 ,它是由苹果信息安全部门的研究员 Joe Vennix 发现并分析的 。


在获得此漏洞之前,重要的是要掌握一些有关 sudo 命令如何工作以及如何进行配置的背景信息。


Linux操作系统上执行命令时,非特权用户可以使用 sudo(超级用户身份)命令以 root 身份执行命令,只要它们已被授予权限或知道 root 用户的密码即可。



sudo 命令还可以配置为允许用户通过向/etc/sudoers 配置文件添加特殊命令来以其他用户身份运行命令。


例如,以下命令允许用户’test’以 root 身份以外的任何用户身份运行/usr/bin/vim 和 usr/bin/id 命令。


test ALL = (ALL, !root) /usr/bin/vimtest ALL = (ALL, !root) /usr/bin/id
复制代码


为了使’test’用户执行上述命令之一,他们将使用带有-u 参数的 sudo 命令来指定运行用户。例如,以下命令将以 vibleing-test 用户身份启动 vim。


sudo -u bleeping-test vim 
复制代码


在 Linux 中创建用户时,将为每个用户分配一个 UID。如下所示,用户’test’的 UID 为 1001,'bleeping-test’用户的 UID 为 1002。



启动 sudo 命令时,用户可以使用这些 UID 代替用户名。例如,下面的命令将再次以“测试”的形式启动 VIM,但这一次是通过提供用户的 UID 来启动的。


sudo -u#1002 vim
复制代码

Sudo 漏洞

苹果安全研究员 Joe Vennix 发现一个错误,该错误允许用户通过在 sudo 命令中使用-1 或 4294967295 UID 以 root 身份启动允许的 sudo 命令。



例如,即使在/etc/sudoers 文件中明确拒绝了‘test’用户,以下命令也可以利用该错误以 root 身份启动/usr/bin/id 用户。


sudo -u#-1 id
复制代码


下面也说明了如何将这个错误与/usr/bin/id 命令一起使用以获取 root 特权。



尽管该错误功能强大,但重要的是要记住,只有通过 sudoers 配置文件为用户提供了对命令的访问权限,它才能起作用。如果不是这样,并且大多数 Linux 发行版默认情况下都没有,那么此错误将无效。


据悉,CVE-2019-14287 漏洞影响 1.8.28 之前的 Sudo 版本。


强烈建议用户尽快将 sudo 软件包更新为最新版本!


参考文章:


Linux SUDO Bug Lets You Run Commands as Root, Most Installs Unaffected


2019-10-16 10:535228
用户头像
万佳 前InfoQ编辑

发布了 677 篇内容, 共 366.9 次阅读, 收获喜欢 1802 次。

关注

评论

发布
暂无评论
发现更多内容

这几个 IoTDB 分布式调优的关键细节,你一定要知道!

Apache IoTDB

探索 Pencils Swap 的叙事:为 DeFi 的再次爆发蓄力

BlockChain先知

阿里大牛10年苦心终成Java面试突击指南,程序员突击找工作拿高薪offer必备!

程序员高级码农

Java 编程 程序员 java面试 Java面试题

25年国内最牛的Java面试八股文合集,不接受反驳

程序员高级码农

Java 编程 程序员 java面试 Java面试题

《计算机组成及汇编语言原理》阅读笔记:p133-p159

codists

编程人 计算机组成及汇编语言原理

从社区共识到资本效能:解析SYNBO的去中心化投资协议创新

股市老人

8折大优惠!联想企业购助力中小企业轻松迈入智能办公新时代

科技范儿

解锁AI潜力:AI在销售领域的应用案例(非Chatbot)

Baihai IDP

程序员 AI chatbot Baihai IDP

新课上线丨如何借助华为项目管理经验,达到项目“事成人爽”的目标?

轶天下事

华为ensp-BGP联盟

阿落ovo

全球人形机器人赛道:2024年终汇总和2025年行业前瞻

机器人头条

科技 特斯拉 大模型 人形机器人 具身智能

Memcached 可观测性最佳实践

观测云

memcached

一图读懂|《企业级研发管理系统迁移指南》精华速览

万事ONES

项目管理 ONES 企业研发管理

探索 Pencils Swap 的叙事:打造流动性与链上收益枢纽

石头财经

ThinkPad X1 Carbon Aura:打破性能与便携悖论,打开AI PC行业新想象

科技范儿

一场化工AI大赛,点亮行业智能化的星星之火

脑极体

AI

混合云网络过于复杂?ENS给你全局一张网的极致体验

不在线第一只蜗牛

网络

MT7915 vs MT7925: Comprehensive Analysis of WiFi 6 and WiFi 7 Chipsets

wifi6-yiyi

MT7915 MT7925

“赛博土木工程师”的多面人生:以技术绘制蓝图,分享知识行走江湖

华为云开发者联盟

物联网 IoT 人脸识别 OBS 华为云IoTDA

如何利用 ClickHouse 实现高级分析:MySQL 到 ClickHouse 实时数据同步指南

tapdata

数据迁移 实时数据复制 Metabase MySQL到ClickHouse 高级分析

【HarmonyOS NEXT】ArkTS 线程模型解析与使用

冉冉同学

鸿蒙 HarmonyOS OpenHarmony HarmonyOS NEXT

AIP智能体平台:开启软件开发新纪元

大东(AIP内容运营专员)

人工智能

Linux用户注意了:Linux Sudo被曝漏洞_安全_万佳_InfoQ精选文章