Kritická zraniteľnosť Sudo

Výskumník z Stratascale Cyber Research Unit objavil kritickú zraniteľnosť v softvérovom balíčku sudo, ktorá neoprávnenému používateľovi umožňuje lokálnu eskaláciu privilégií na Unixových a Unixu-podobným operačných systémov.

Zraniteľné systémy:

CVE-2025-32462 sudo 1.8.8 – 1.8.32 a 1.9.0 – 1.9.17

  • Oracle Linux 8
  • RHEL (všetky podporované verzie)
  • CentOS (všetky podporované verzie)
  • Alma Linux (všetky podporované verzie)
  • openSUSE (všetky podporované verzie)
  • Ubuntu (všetky podporované verzie)
  • Fedora (všetky podporované verzie)
  • Debian 10 a všetky podporované verzie
  • Arch Linux
  • FreeBSD 13, 14
  • NetBSD 9.4, 10.1
  • macOS Sequoia

CVE-2025-32463 sudo 1.9.14 – 1.9.17

  • RHEL 10
  • CentOS 10 Stream
  • AlmaLinux 10
  • openSUSE (všetky podporované verzie)
  • Ubuntu (všetky podporované verzie)
  • Fedora (všetky podporované verzie)
  • Debian Sid
  • Arch Linux
  • FreeBSD 13, 14
  • NetBSD 9.4, 10.1

Opis zraniteľnosti:

CVE-2025-32462 (CVSS 3.1 skóre 2.8)

Sudo verzie pred 1.9.17p1 pri použití so súborom sudoers, ktorý špecifikuje hostiteľa iného ako je aktuálny  alebo ALL, umožňuje používateľom vykonávať neoprávnené príkazy ako root.

CVE-2025-32463 (CVSS 3.1 skóre 9.3)

Sudo vo verziách pred 1.9.17p1 umožňuje lokálnym používateľom získať oprávnenia používateľa root, pretože pri použití operátora --chroot sa načítava súbor /etc/nsswitch.conf zo súboru špecifikovaného používateľom.

Možné škody:

  • Eskalácia privilégií
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Užívateľom na zraniteľných systémoch odporúčame sledovať aktualizácie od svojho poskytovateľa softvérových balíčkov. Ubuntu, Debian a openSUSE (a ich derivátne distribúcie) už obsahujú aktualizované balíčky verzie 1.9.17p1 a vyššie.

Pre systémy rodiny RHEL zasiahnuté CVE-2025-32462 odporúčame odstránenie všetkých pravidiel definovaných v súbore sudoers, ktoré sú určené pre iné systémy než pre lokálny systém. Pre prostredia používajúce LDAP použite úzko vytýčenú cestu vyhľadávania v konfigurácii SSSD, aby sa do výsledkov dopytu LDAP nezahrnuli pravidlá, ktoré sa na daný systém nevzťahujú.

Zdroje: