Sudo, alat baris perintah istimewa yang sering diinstal pada sistem Linux, memiliki dua kerentanan hak istimewa lokal.
Kerentanan ini ditemukan oleh tim peneliti di Stratascal dan dapat menghasilkan eskalasi hak istimewa root.
Di bawah ini, para pemimpin keamanan mendiskusikan risiko kerentanan ini serta strategi manajemen.
Pemimpin keamanan menimbang
Marc England, Konsultan Keamanan di Black Duck:
CVE-2025-32462 telah menerima skor CVSS yang lebih rendah karena kondisi yang diperlukan. Yaitu, eksekusi yang berhasil akan mengharuskan seseorang untuk membuat kesalahan konfigurasi dan menggunakan file sudoers dengan host yang salah agar kerentanan ini bekerja. Kesalahan harus terjadi di tempat lain untuk memenuhi kondisi ini.
Di sisi lain CVE-2025-32463, melibatkan vektor eskalasi hak istimewa lokal yang tidak mengharuskan pengguna berada di file sudoers. Satu -satunya pertanyaan saya adalah, ketika datang ke unsur -unsur seperti infrastruktur, berapa banyak dari mereka yang menggunakan Ubuntu 24.04? Sering kali dengan Ubuntu 22.04 LTS yang memiliki dukungan hingga 2027, itu akan jauh lebih umum di sebagian besar lingkungan karena tidak selalu ada terburu -buru untuk memperbarui ke OS baru karena yang saat ini masih stabil dan didukung. Saya tidak yakin berapa banyak yang akan ditingkatkan sebagai sudo 1.9.9 – paket terbaru untuk Ubuntu 22.04 (dan tidak dalam kisaran yang rentan).
Ben Hutchison, Konsultan Kepala Asosiasi di Black Duck:
Kedua kerentanan sudo yang baru -baru ini diungkapkan harus diperlakukan sebagai prioritas untuk resolusi oleh organisasi, karena keduanya memungkinkan peningkatan potensi hak istimewa pengguna dan pelaksanaan perintah yang tidak diinginkan pada perangkat yang terkena dampak/di seluruh lingkungan organisasi. Dalam hal masalah keparahan dengan nilai yang lebih rendah, kondisi kerentanan yang akan dieksploitasi mensyaratkan bahwa kondisi konfigurasi spesifik dipenuhi di lingkungan yang terkena dampak, di luar default; Namun kondisi itu tidak mungkin karena fungsionalitas yang dieksploitasi adalah operasi yang tidak diinginkan yang tersedia secara default jika kondisi lingkungan/konfigurasi yang diperlukan dipenuhi, yang ada untuk memenuhi kebutuhan yang relatif umum; Yaitu penggunaan file konfigurasi umum yang dimaksudkan untuk menentukan kondisi izin pengguna yang diskrit yang digunakan di seluruh host, memanfaatkan penggunaan opsi file konfigurasi host/host yang didukung yang dimaksudkan untuk menyederhanakan pengelolaan penyebaran lingkungan yang kompleks.
Sayangnya, dalam hal ini, dengan menggunakan fungsionalitas yang dimaksudkan ini membuka organisasi hingga konsekuensi yang tidak diinginkan melalui penggunaan fitur ini dalam konteks perintah yang tidak diinginkan lainnya yang memungkinkan potensi peningkatan hak istimewa pengguna dan eksekusi perintah di seluruh host di luar yang dimaksudkan dan yang terbang dalam menghadapi konfigurasi yang diharapkan, yang dapat memiliki konsekuensi serius; Organisasi harus memperlakukan perbaikan masalah ini sebagai prioritas meskipun skor keparahan kerentanan yang tampaknya rendah dan menyelidiki konfigurasi mereka untuk penggunaan opsi dan versi yang rentan (dua kali lipat karena keberadaan kerentanan lain yang baru -baru ini diungkapkan yang tidak memiliki persyaratan berbasis konfigurasi tersebut untuk eksploitasi).
Trey Ford, Kepala Petugas Keamanan informasi di Bugcrowd:
Kontrol izin, secara khusus mempertahankan kontrol positif eskalasi hak istimewa, sangat penting untuk operasi keamanan. Saat sudo perlu ditambal, Anda meletakkan sandwich Anda dan mendapatkan ASAP yang diprioritaskan.
Kasus -kasus tepi rentan yang sangat sulit ini adalah keindahan kemitraan penelitian. Varians dalam penilaian masuk akal – ada skenario konfigurasi yang sangat sempit yang memungkinkan untuk satu eksploitasi, di mana file Userland dapat dibuat untuk mengeksploitasi yang lain.
Kerentanan dalam perangkat lunak open source seringkali dapat bertahan – ketika kami menambahkan fungsionalitas pada proyek open source dasar, mereka hidup sampai ditemukan (dalam hal ini, selusin tahun) – meninggalkan para pembela yang bertanya “bagaimana kita menyelidiki untuk melihat apakah ini telah digunakan secara jahat di masa lalu? (Catatan: Ini bisa menjadi penyelidikan yang sangat mahal karena volume dan pola penyimpanan untuk log lama).
Tim peneliti yang ingin membuat nama untuk diri mereka sendiri harus meluangkan waktu untuk mempelajari paket open source utama seperti ini – mengevaluasi ketika fungsionalitas baru telah ditambahkan untuk mencari kasus -kasus tepi ini. Kekuatan penelitian tidak ada dalam tinjauan aktual – itu dalam keragaman pengulas yang menguji kode dari setiap sudut yang bisa dibayangkan.