Zwei Sicherheitslücken in Sudo entdeckt

Sudo wird von fast allen Linux-Distributionen verwendet, um Prozesse mit den Rechten eines anderen Benutzers, meist dem Superuser root, auszuführen. Bereits häufiger war Sudo von Sicherheitslücken betroffen. Jetzt wurden zwei Schwachstellen entdeckt, von denen eine bereits 2011 eingeschleppt wurde. Die beiden Lücken wurden als CVE-2021-3156 und CVE-2021-23239 katalogisiert. Die Erste der beiden Lücken hat einen CVSS-Score von 7.0 was der allgemeinen Einordnung als high entspricht, die Zweite hat einen Score von 2,5, was als low einzuordnen ist

Pufferüberlauf

Bei der von Sicherheitsforschern von Qualsys entdeckten Schwachstelle CVE-2021-3156 handelt es sich um einen Heap-Based Buffer Overflow, also einen Überlauf in der dynamischen Speicherverwaltung. Es wurde entdeckt, dass Sudo beim Parsen von Befehlszeilen den Speicher nicht korrekt behandelt. Ein lokaler Angreifer, egal ob mit Sudo-Rechten ausgestattet oder nicht, könnte dieses Problem ohne Authentifizierung ausnutzen, um unbeabsichtigten Zugriff auf das Administratorkonto erhalten. Betroffen sind die älteren Versionen von 1.82 – 1.8.31p2 und aktuelle Versionen von 1.9.0 – 1.9.5p1. Somit sind alle aktuellen Ausgaben von Distributionen betroffen, die Sudo einsetzen. Darunter sind Ubuntu 20.04 LTS und 20.10, Fedora 33 und Debian 10 sowie RHEL und SUSE Enterprise.

Sudoedit

Bei der zweiten Schwachstelle CVE-2021-23239 kann ein lokaler Angreifer in der Komponente sudoedit
eine Race Condition auslösen, die bei der Überprüfung von Verzeichnisberechtigungen dazu führt, dass Dateirechte umgangen werden. Ein lokaler Angreifer könnte dieses Problem ausnutzen, Dateirechte zu umgehen, um festzustellen, ob ein Verzeichnis existiert oder nicht.

Zeitnah aktualisieren!

Zum jetzigen Zeitpunkt haben Arch, Ubuntu, Debian, FreeBSD, Fedora und Red Hat und andere die Lücken bereits geschlossen. Nutzer sind dringend aufgefordert, ihre Systeme sobald als möglich zu aktualisieren und eine angebotene Sudo-Version höher als 1.9.5p1 einzuspielen. Eine Alternative zu Sudo kann doas sein.

5 5 votes
Article Rating

Verwandte Themen

5 5 votes
Article Rating
Abonnieren
Benachrichtige mich bei
9 Comments
Oldest
Newest Most Voted
Inline Feedbacks
View all comments