Sudo-Bug erlaubt unbefugte Code-Ausführung mit Root-Rechten

  • Allgemein

  • mad.de
  • 3251 Aufrufe 3 Antworten

Diese Seite verwendet Cookies. Durch die Nutzung unserer Seite erklären Sie sich damit einverstanden, dass wir Cookies setzen. Weitere Informationen

  • Sudo-Bug erlaubt unbefugte Code-Ausführung mit Root-Rechten

    Eine Schwachstelle erlaubt das Umgehen der Sicherheitsrichtlinie. Sudo verarbeitet bestimmte Werte für die User-ID fehlerhaft und interpretiert sie als Root. Fehlerfrei ist nun die Version 1.8.28.

    Die Sudo-Entwickler haben im gleichnamigen Linux-Tool eine schwerwiegende Schwachstelle entdeckt. Das in nahezu allen Unix- und Linux-basierten Betriebssystemen enthaltene Werkzeug erlaubt es unter Umständen, beliebige Befehle mit Rootrechten auszuführen, selbst wenn in der Sudo-Konfiguration der Root-Zugriff explizit verweigert wurde.

    Bei der Sicherheitslücke handelt es sich einem Bericht von The Hacker News zufolge um eine Umgehung einer Sicherheitsrichtlinie. Während Sudo das Ausführen von Befehlen im Kontext eines anderen Nutzers erlauben soll, bietet das Tool auch zahlreiche Konfigurationsmöglichkeiten, die einen Missbrauch ausschließen sollen.

    Ab Werk dürfen alle Nutzer, die zu den Gruppen „Admin“ oder „Sudo“ gehören, beliebige Befehle im Kontext beliebiger Nutzer starten. Darüber hinaus lässt sich allerdings festlegen, welche Nutzer welche Befehle im Kontext welcher Nutzer ausführen können.

    Genau diese Sicherheitsrichtlinie jedoch in Sudo-Versionen älter als 1.8.28 unwirksam. Grund dafür ist, dass die Werte „-1“ und „4294967295“ für die User-ID durch die Funktion, die die ID in den Nutzernamen übersetzt, stets als „0“ interpretiert werden. „0“ ist jedoch die User-ID für Root – folglich erhält ein Nutzer bei Angabe dieser User-IDs automatisch Root-Rechte. Hinzu kommt dem Bericht zufolge, dass keine Authentifizierung durchgeführt wird, da die fraglichen User-IDs, wenn über den Parameter „-u“ angegeben, nicht in der Passwortdatenbank enthalten sind.

    Die fehlerbereinigte Sudo-Version 1.8.28 steht seit gestern zur Verfügung. Sie sollte nun zeitnah von den verschiedenen Linux-Distributionen an ihre Nutzer verteilt werden. Alternativ lässt sich das Sudo-Paket aber auch manuell aktualisieren.

    Quelle: Sudo-Bug erlaubt unbefugte Code-Ausführung mit Root-Rechten | ZDNet.de
  • Hi,

    na zum Glück gibt es sudo auf meinen Systemen erst gar nicht. :D
    @OffTopic: Schon alleine die Herangehensweise: warum sollte ich es einem potentiellen Angreifer erleichtern - so braucht er ijF zusätzlich zum Zugriff auf meinen Nutzer noch das Root-Passwort.
    Da lobe ich mir auch das neue "lockdown"-Feature, dass sowas gar mit Root-Rechten noch schwieriger machen wird: Linux: Kernel-Lockdown zur Aufnahme im Hauptzweig vorgeschlagen - Golem.de

    Gruß
    Broken Sword
    Auf dem Abstellgleis sah man ihn liegen,
    Auf dem Abstellgleis zwischen Schwelle und Gestein,
    Auf dem Abstellgleis im strömenden Regen,
    Auf dem Abstellgleis allein.
  • Lücke in sudo gewährte Angreifern unter bestimmten Voraussetzungen Root-Rechte

    Updates für macOS und Linux schließen eine sudo-Lücke, deren Schweregrad als "hoch" gilt, die allerdings nur unter bestimmten Voraussetzungen ausnutzbar ist.

    Der sudo-Befehl dient unter macOS und Linux dazu, Befehle mit den Rechten anderer Benutzer auszuführen. Typischerweise wird er verwendet, um kurzfristig, etwa zur systemweiten Verteilung von Updates, mit Root-Rechten zu arbeiten. Dazu ist normalerweise die Eingabe des eigenen Passworts sowie eine (in der sudo-Konfiguration festgelegte) Berechtigung erforderlich.

    Allerdings sorgte ein Programmierfehler in sudo bis vor kurzem dafür, dass lokale Angreifer unter bestimmten Voraussetzungen einen Pufferüberlauf provozieren und in der Folge unberechtigt Befehle als Root ausführen konnten.

    Updates für macOS sowie aktualisierte Pakete für mehrere Linux-Distributionen fixen die aus dem Bug resultierende Sicherheitslücke.

    Angriffe nur bei aktiviertem pwfeedback möglich
    Die Lücke mit der CVE-Nummer CVE-2019-18634 ist nur dann ausnutzbar, wenn in der sudo-Konfigurationsdatei etc/sudoers die Option pwfeedback aktiv ist. Laut dem Eintrag zu CVE-2019-18634 in der National Vulnerability Database (NVD) ist pwfeedback in der Upstream-Version von sudo und vielen davon abgeleiteten Linux-Paketen standardmäßig deaktiviert. Auf einige Linux-Distributionen (konkret werden Linux Mint and elementary OS genannt) treffe jedoch das Gegenteil zu.

    Obwohl das von der Sicherheitslücke ausgehende Risiko von pwfeedbacks (In-)Aktivität abhängt und daher stark variieren kann, wird es von den meisten Quellen als "hoch" eingestuft. Unter anderem hat das CERT-Bund einen Sicherheitshinweis zu CVE-2019-18634 veröffentlicht. Ein Eintrag bei Red Hat zu CVE-2019-18634 weist der Lücke einen CVSS-v3-Score von 7.3 zu ("High").
    Updates und weitere Hinweise

    Überprüfen lässt sich der Status von pwfeedback durch Eingabe des Befehls

    sudo -l

    Liefert dieser unter anderem pwfeedback als Eintrag zurück, ist die sudo-Konfiguration (versionsabhängig) angreifbar. Einen Workaround (in Gestalt einer Anpassung des pwfeedback-Eintrags in sudoer) sowie weitere Details zur Lücke beschreibt das sudo-Entwicklerteam in seinem Security Advisory zu CVE-2019-18634.

    Grundsätzlich verwundbar sind laut sudo-Team die sudo-Versionen 1.7.1 bis einschließlich 1.8.25p1; in darauffolgenden Versionen sei der Bug zwar ebenfalls vorhanden, aber aufgrund einer anderen Codeänderung nicht mehr ausnutzbar gewesen. Die sudo-Version 1.8.31 ist abgesichert.

    macOS-User sollten ein Update auf Catalina 10.15.3 durchführen oder das (in einem Supportdokument von Apple detailliert beschriebene) Sicherheitsupdate 2020-001 macOS High Sierra 10.13.6 beziehungsweise für macOS Mojave 10.14.6 einspielen.

    Linux-Anwender sollten nach aktualisierten Paketen Ausschau halten. Für einige Distributionen gibt es bereits Updates und/oder weiterführende Informationen:

    - Debian Security Update
    - Gentoo Linux
    - Red Hat
    - Slackware
    - Ubuntu Security Update.

    Quelle: Lücke in sudo gewährte Angreifern unter bestimmten Voraussetzungen Root-Rechte | heise online