The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Обновление sudo 1.9.5 с устранением уязвимостей

13.01.2021 13:38

Доступен новый выпуск утилиты sudo 1.9.5, используемой для организации выполнения команд от имени других пользователей. В новой версии устранено шесть проблем с безопасностью, из которых выделяются две уязвимости:

  • CVE-2021-23240 - уязвимость в утилите sudoedit, применяемой для предоставления доступа к редактированию файлов, принадлежащих другим пользователям (в отличие от запуска редактора через sudo, утилита sudoedit запускает редактор без повышения привилегий и позволяет отредактировать копию файла с правами текущего пользователя, а потом заменить целевой файл и вернуть исходные параметры доступа).

    Уязвимость проявляется на системах с поддержкой SELinux RBAC и позволяет сменить владельца произвольного файла в системе на пользователя, которому принадлежит целевой файл, открытый для редактирования. Проблема вызвана состоянием гонки - пользователь может подменить доступный для редактирования временный файл на символическую ссылку в момент, когда редактирование завершено, но прежние права на целевой файл ещё не возвращены, после чего владелец будет изменён для файла, на который указывает символическая ссылка. В качестве обходного метода защиты достаточно включения режима /proc/sys/fs/protected_symlinks = 1.

  • CVE-2021-23239 - утечка информации при использовании утилиты sudoedit. Через манипуляцию c символическими ссылками можно определить существование каталогов в иерархии, к которой пользователь не имеет доступа.


  1. Главная ссылка к новости (https://www.openwall.com/lists...)
  2. OpenNews: Выпуск sudo 1.9.0
  3. OpenNews: Root-уязвимость в sudo, затрагивающая Linux Mint и Elementary OS
  4. OpenNews: Уязвимость в sudo, позволяющая повысить привилегии при использовании специфичных правил
  5. OpenNews: В sudo устранена уязвимость, позволяющая переписать файл на системах с SELinux
  6. OpenNews: При портировании во FreeBSD утилиты doas, аналога sudo от OpenBSD, возникла опасная уязвимость
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/54394-sudo
Ключевые слова: sudo
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (76) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, InuYasha (??), 13:44, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/
    кто-нибудь в своей практике пользуется этим sudoedit? (я не пользовался ни разу, потому спрашиваю).
     
     
  • 2.3, iPony129412 (?), 13:46, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    да
     
  • 2.7, Аноним (7), 14:21, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Юзаю sudo -e, насколько я знаю это одно и то же.
     
  • 2.8, Урри (ok), 14:38, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Зачем он нужен, если есть удобный mcedit?
     
     
  • 3.13, Аноним (13), 14:53, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +5 +/
    ананасы с яблоками сравнил. sudoedit вообще не редактор, он запускает EDITOR с пониженными привилегиями, а потом только подсовывает измененный файл куда надо.
     
     
  • 4.46, Чума (?), 19:03, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А главное - проверяет синтаксис, чтоб не было сюрпризов.
     
     
  • 5.65, anonnononon (?), 01:39, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    ты попутал с visudo
     
  • 2.9, Аноним (-), 14:49, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    К счастью, не я.
     
  • 2.25, Ilya Indigo (ok), 16:05, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Я тоже в этой новости про sudoedit впервые услышал.
    Всегда пишу sudo vim /путь/файл, когда нужно подправить что-то системное.
     
     
  • 3.27, slepnoga (ok), 16:11, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +6 +/
    да, смузики они такие - sudo от sudoedit  нафик не отличают.
    ман шоли почетай
     
     
  • 4.28, InuYasha (??), 16:35, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > ман шоли почетай

    Manager's Manual                                                                         SUDO(8)
    NAME
         sudo, sudoedit — execute a command as another user

    он общий. Я спрашивал потому что мне интересны случаи использования sudoedit.

     
  • 3.84, iPony129412 (?), 07:53, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Я тоже в этой новости про sudoedit впервые услышал. Всегда пишу sudo vim

    Ну да. И начнётся там всякая ерунда с перетягиванием одеяла.
    Если его первым запустить, то .vimrc создаст с рутовскими правами.
    Если не в первый раз запустить, то старые настройки не подтянет.

     
     
  • 4.85, Ilya Indigo (ok), 11:24, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Вы, конечно же как всегда, сказали чушь и я абсолютно уверен что Вы самостоятель... большой текст свёрнут, показать
     
     
  • 5.86, iPony129412 (?), 11:51, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Если запустить в первый раз sudo vim, то он создаст /root/.viminfo

    Уже проходил. А потом бац и при бэкапе home у тебя рутовые файлы конфигурационные от vim. Ну и понятно что ошибки сыпет "не могу файл прочитать, прав нет".

    > А вот через sudoedit vim, как раз и начнутся танцы с бубнами и подменами, описанные в этой новости и приводящие к уязвимости.

    уровня хакера в столовой.

    Илюха как всегда.

     
  • 2.49, Ivanr (?), 19:11, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Использую su, sudo использую только чтобы задать пароль root
     
  • 2.53, Аноним (53), 20:53, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Постоянно пользуюсь - безопасно и удобно Как для редактирования конфигов EDITO... большой текст свёрнут, показать
     
     
  • 3.56, Ivanr (?), 21:49, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    А вим вообще в емуляторе или в консоле работает
     
  • 2.64, Oxyd76 (?), 00:59, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Всегда.
     
  • 2.67, kmeaw (?), 03:42, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Всегда использую. Это особенно важно, когда через sudoers нужно выдать права на редактирование файла кому-то ещё; sudo vim /file - плохой выбор, потому что тогда пользователь сможет попросить (уже привилегированный) редактор открыть другой файл (:e) или вовсе дать шелл (:!).
     
     
  • 3.82, InuYasha (??), 13:40, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Вот это, имхо, уже обоснованно. Почему минусуют - не понимаю.
     

  • 1.4, Леголас (ok), 13:46, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +6 +/
    символическая ссылка -- грозный инструмент в руках умелого хацкера
     
     
  • 2.12, Аноним (-), 14:51, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +5 +/
    В руках умелого хацкера что угодно - грозный инструмент.
     
     
  • 3.39, Дегенератор (ok), 18:16, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    И борщевой набор?
     
     
  • 4.43, Аноним (43), 18:32, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    на минуточку задумайся про свёклу и нож, которым её нарезают.
     
     
  • 5.52, Дегенератор (ok), 20:20, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > на минуточку задумайся про свёклу и нож, которым её нарезают.

    Отрезанные пальцы мегахацкера и ухахатывающаяся свелка?

     
     
  • 6.90, Аноним (90), 23:20, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Отрезанные пальцы мегахацкера и ухахатывающаяся свелка?

    Или какой-нибудь реактор генерящий биодизель. Ламеры и хакеры этим и отличаются.

     
  • 4.89, Аноним (90), 23:19, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > И борщевой набор?

    Не такой уж плохой старт. Как говаривал Эдисон, чтобы что-нибудь изобрести потребуется куча мусора и хорошее воображение.

     

  • 1.5, Мамкин Хакер (?), 14:12, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    alv  поясняет нам: "специальная команда sudoedit (или просто sudo с опцией -e). Она не требует указания имени вызываемого для этой цели редактора: в качестве такового используется значение переменной EDITOR из окружения того пользователя, который ее вызвал"
     
  • 1.6, псевдонимус (?), 14:20, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Какой проблемный комбайн однако.  

    Мне хватает su.

     
     
  • 2.10, Аноним (-), 14:50, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Да это вообще опциональная хрень которой никто особо не пользуется. И ничего что в su тоже пара дыр была? Примерно один фиг.
     
     
  • 3.15, ryoken (ok), 14:59, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    В su уязвимости разве что раз в 3-5 лет тут видел, в сабже - раза в 2 чаще :D. Стараюсь в линуксе им не пользоваться, на всякий (это в макакоси без вариантов).
     
  • 3.29, annoymou5 (?), 16:38, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    >> Мне хватает su.
    > Да это вообще опциональная хрень которой никто особо не пользуется.

    Раньше чаще пользовались как раз su, но потом признали её несекьюрной. Типа, подталкивает к постоянной работе из-под рута. И ведь действительно подталкивает, меня во всяком случае. Да и не только меня, неоднократно наблюдал такое и у других сисадминов.

     
     
  • 4.44, псевдонимус (?), 18:44, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Садовая суду с кучей дырищ признали секундой.

    Су просто несколько менее удобна в некоторых случаях.

    Одмину подкроватного сервака и даже десятка подвальных серваков, особенно если он единственный админ она совсем не нужна. А стакими фракталовыми дыренями 2-3 раза в год не нужна и вменяемому тырпрайзу.

     
     
  • 5.54, An O Nim (?), 21:25, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    По СНИП в подвал серверные не ставят. Труба, дыра, вода, вниз, сервер.

    Навеяло.

     
     
  • 6.66, псевдонимус (?), 02:37, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    В цоколь вполне себе ставят (
     
     
  • 7.76, анон (?), 07:56, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    На красный через дорогу тоже бегают.
     
  • 6.71, Аноним (43), 03:55, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Япы даже резервный дизель-генератор в затапливаемый подвал на АЭС поставили :)
     
     
  • 7.91, Аноним (90), 23:22, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Япы даже резервный дизель-генератор в затапливаемый подвал на АЭС поставили :)

    И упсы с акумами. Заодно и узнали почему это хреново.

     
  • 4.74, zu (?), 05:56, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    sudo su - вот правильный вариант
     
     
  • 5.77, анон (?), 07:59, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Стать рутом и запустить su чтобы еще раз стать рутом. Ну-ну.
    sudo -s или sudo -i.
     
  • 4.79, лютый жабби__ (?), 08:38, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    >Типа, подталкивает к постоянной работе из-под рута

    20 лет на серверах работаю из под root. Вообще тупейшая мантра, что надо логиниться под васяном, а потом каждую команду дергать с sudo. В чём повышенная секурность-то? Если ты баран, то и с sudo что-то не до наберешь, а если не баран, то и без ОК.

     

  • 1.14, Аноним (14), 14:56, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    уж сколько раз твердили миру, не пользуйтесь sudo если вам не нужны его фичи.

    Если хочется что-то запускать от рута, не вводя его пароль (а это 99% юзкейсов), то есть doas. Минимален и прост как топор, там тупо негде допустить CVE.

     
     
  • 2.16, ryoken (ok), 14:59, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так оно ж под фрю?
     
     
  • 3.18, Мамкин Хакер (?), 15:10, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Имменно. Осталось освоить фрю или арч,воид.альпин. или скомпилить-весь мир так делает же:)
     
     
  • 4.30, ryoken (ok), 16:40, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Имменно. Осталось освоить фрю или арч,воид.альпин. или скомпилить-весь мир так делает же:)

    Фря ненужно. Войд на повермаке живёт. Скомпилировать - дык основной окмп и так на генте. Необходимости менять su на doas как-то не вижу. Что-то кардинально поменяется? :)

     
     
  • 5.38, Мамкин Хакер (?), 18:13, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Кардинально - ничего, ну можно наделять, а не переключать, и без sudoзаморочек.
     
  • 3.19, Аноним (19), 15:23, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    "Вот никаких и не читайте"
     
  • 3.78, Siborgium (ok), 08:24, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Нет, конечно. Написан он был под OpenBSD, но отлично работает и под дистрибутивами Linux.
     
     
  • 4.92, Аноним (90), 23:24, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > но отлично работает и под дистрибутивами Linux.

    Отлично от других? Ну вот нет в репах дебиана и деривативов такого пакета. Хорошее начало...

     
     
  • 5.97, Siborgium (ok), 04:17, 16/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    >> но отлично работает и под дистрибутивами Linux.
    > Отлично от других? Ну вот нет в репах дебиана и деривативов такого
    > пакета. Хорошее начало...

    Проблемы вашего дистрибутива. В моем все есть и работает.

     
  • 2.41, Арчевод (?), 18:27, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    doas уж очень примитивный. Даже pam не умеет, а без него как sudo авторизовывать через отпечаток пальца или через какой-нибудь howdy.
     
     
  • 3.80, Аноним (80), 12:13, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > doas уж очень примитивный

    Так это ж хорошо.

     

  • 1.20, Аноним (20), 15:25, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    mandatory lockи не нужны (и поэтому не работают вообще, даже если включены) - говорили они.
     
  • 1.21, Аноним (21), 15:29, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Хорошо что во времена создания sudo небыло rust. А это эти укурки вызываби бы вызывали для редактировния VSCode с плагинами.
     
     
  • 2.22, FractaL (?), 15:31, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Обязательно. Потому что больше мы ничего не умеем.
     
     
  • 3.81, Аноним (80), 12:14, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Фроктал, как Ваши дырени?
     
  • 2.40, Арчевод (?), 18:21, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Какая связь между rust и vscode?? Аноним, у тебя в голове каша.
     
     
  • 3.42, Аноним (43), 18:30, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –3 +/
    каша в голове растаманов, которые придумали сказки про безопасность, но при этом в ихней недооси течёт память.
     
     
  • 4.48, Аноним (48), 19:07, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    У них не только в недооси течёт. Уних обвязки к тулкитам текут. При этом о чудо, сишный код не течет а растовый течет.

    Но ты не понимаешь, это другое, это ради твоей безопасности.

     
     
  • 5.93, Карл (?), 00:09, 16/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Сказку про сосишный код не течёт сам придумал или украл?

    Эту штуку https://www.kernel.org/doc/html/latest/dev-tools/kmemleak.html придумали исключительно из-за избытка лишнего времени и ради лулзов, да? Несомненно. В твоей голове и не такой бред уместится :)

     
  • 4.51, Anonim4kk (?), 20:17, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Каша а голове Анона, который не осилил доку по Rust, зато умудряется выдавать пёрлы. Никто никогда не обещал вам на полном серьёзе что код на Rust не будет течь. А если вы воспринимаете всяких фракталов, не как жирных троллей - это исключительно ваши проблемы.
     
  • 4.57, Аноним (-), 21:54, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > но при этом в ихней недооси течёт память.

    Вообще-то, речь там шла о ядерном менеджере памяти. Это такая штука с таблицами страниц, трансляция физ. в виртуальные адреса и прочим. Она может "ныкать" память из-за банальной фрагментации.

    Но ЖС-макаки не в курсе таких нюансов - память для них это что-то ужасное с "malloc/free" (ага, в самом менеджере памяти).

     
     
  • 5.69, Аноним (43), 03:52, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Там речь шла именно о баге, который надо было исправить, а не фрагментации.
     
     
  • 6.73, Аноним (-), 05:49, 14/01/2021 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > Там речь шла именно о баге, который надо было исправить, а не фрагментации.

    Ссылка на баг будет? Или как обычно?

     
     
  • 7.95, Карл (?), 00:35, 16/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Кушай, не обляпайся. Мог бы и сам погуглить, пепега. https://gitlab.redox-os.org/redox-os/redox/-/issues/855
     
  • 6.94, Карл (?), 00:32, 16/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Если погуглить, то в Redox память ядра (Но не юзерспейса) текла, потому что её можно было выделить (под структуры ядра, с помощью вызова  sbrk), но не освободить (Т.к. вызова для этого не было вовсе, как в общем то и учёта). В последнем релизе они написали полнофункциональный менеджер - rmm. Т.ч. это даже не было ошибкой. Зато сколько кукареков от сосишного хеллоуворлдщика выше :)
     
  • 3.47, Аноним (48), 19:06, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Простая. У вас даже редактора нормального нету и кроме VSCode вы ничего не знаете.
     
     
  • 4.59, Аноним (-), 22:22, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > Простая. У вас даже редактора нормального нету и кроме VSCode вы ничего не знаете.

    Чем, говоришь, emacs и vim ненормальны?


     
     
  • 5.87, попинс (?), 18:23, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Тем что поддержка раста на уровне подсветки синтаксиса и всё. Ни контекстного поиска, ни контекстного рефакторинга. Ничерта. Но собственно и ожидаемо. Какой язык такая и поддержка. Для нормальных языков предостатчно.

    И emacs и vim кстати с нормальными языками отличненько работают. Один только раст в непроглядной ж..е.

     
  • 4.96, Карл (?), 00:57, 16/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Врать не хорошо. RLS и rust-analyzer могут использоваться в любом редакторе, который поддерживает LSP. Для последнего есть инструкции к куче редакторов, помимо vscode https://rust-analyzer.github.io/manual.html . VSCode просто более популярна, потому что в ней всё работает из коробки и без упражнений с менеджерами плагинов, конфигами и т.д. Которые, к слову, не делают тебя сверхчеловеком, а всего лишь показывают, что у тебя есть лишнее время для пердолинга и передёргивания на маргинальные редакторы.

    Кроме того есть ещё Intellij Rust, который пилится независимо и тоже весьма популярен.

    Но тебе твоё воспалившееся самомнение мешало погуглить всё это время, какая жалость.

     

  • 1.31, Аноним (31), 16:48, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Недавно перешёл на opendoas, видать не зря. Чтобы выполнить пару команд из рута - в самый раз. Однако код проще и меньше, а конфиг вообще однострочный.
     
     
  • 2.55, An O Nim (?), 21:27, 13/01/2021 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Букв моноговато в названии. )) Хотя, alias su=opendoas
     
  • 2.83, Аноним (83), 02:24, 15/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    Прикольная штуковина, но после того как она побывала на галимом гитхабе уже крайне стремно ее использовать.

    Понагадили знатно
    https://github.com/nholstein/OpenDoas/pull/4

     
  • 2.98, Карл (?), 09:44, 16/01/2021 [^] [^^] [^^^] [ответить]  
  • +/
    > last 6 years ago

    Поздравляю с переходом от дырявого, но штопаемоемого сита на дырявое и нештопоемое сито без пользователей и разработчиков.

     

  • 1.58, Аноним (58), 22:02, 13/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Садо без мазо не катит.
     
  • 1.75, Аноним (75), 07:49, 14/01/2021 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    /bin/su - хватит всем.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру