【原创缝隙】sudo root权限绕过(CVE-2019-14287)
颁布功夫 2019-10-15
1、布景描述
安全钻研人员在sudo中发现了一个缝隙，，，，，它是最沉要，，，，，职能最壮大且最常用的常用法式之一，，，，，它作为装置在险些所有基于UNIX和Linux的操作系统上的主题号令而出现。。。。 。。。
2、缝隙列表
缝隙等级： 中危
影响领域： sudo 1.8.28之前的版本
3、缝隙详情
该缝隙是sudo安全战术绕过问题，，，，，即便“ sudoers配置”明确不容了root用户接见，，，，，该缝隙也可能允许恶意用户或法式以root用户身份在指标Linux系统上执行肆意号令。。。。 。。。
sudo代表“超等用户”，，，，，它是一个系统号令，，，，，允许用户以其他用户的特权运行利用法式或号令，，，，，而无需切换环境。。。。 。。。通常以root用户身份运行号令。。。。 。。。
若是依照尺度配置系统战术，，，，，则不易受到攻击。。。。 。。。若是长短尺度配置，，，，，例如：Runas规芳确不容root接见，，，，，Runas规范中首先列出ALL关键字，，，，，那么sudo权限的用户就能够使用它来以root身份运行号令。。。。 。。。若是通过-u选项指定的用户ID在密码数据库中不存在，，，，，因而不会运行任何PAM会话�？？ ？？ ？ ？？？椤�。。。 。。。
4、建复建议
Red Hat Enterprise Linux / CentOS
https://access.redhat.com/security/cve/CVE-2019-14287
Ubuntu
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-14287.html
SUSE / openSUSE
https://www.suse.com/security/cve/CVE-2019-14287.html
5、参考链接
https://www.sudo.ws/alerts/minus_1_uid.html
京公网安备11010802024551号