RUS-CERT-664 – Archivierte Meldung

Meldung Nr: RUS-CERT-664

[Generic/sudo] Problem beim Aufruf des Mail-Programmes
(2002-01-17 11:43:51+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2002/01/msg00175.html

In der Mail-Benachrichtung von sudo ist ein Fehler enthalten, der lokalen Benutzer erlaubt, root-Rechte zu erlangen.

Betroffene Systeme

Systeme, die sudo in Versionen vor 1.6.5 verwenden.

Der betreffende Code scheint mindetens schon seit Version 1.3 in sudo enthalten sein. Das Problem wurde teilweise in den 1.6.4-Versionen behoben, ein Restrisiko blieb jedoch bestehen.

Einfallstor
lokaler Account

Auswirkung
Ein Angreifer kann beliebigen Code mit root-Rechten ausführen.

Typ der Verwundbarkeit
Fehlerhafte Handhabung von erhöhten Privilegien

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Bei unsachgemäßer Verwendung des sudo-Programms durch einen lokalen Benutzer wird automatisch ein Hinweis an den Systemadministator per E-Mail abgesetzt. (Dies erfordert die Aktivierung einer sudo-Option bei der Kompilierung des Programms, die per Voreinstellung eingeschaltet ist. Die Einstellungen können als User root mit dem Kommando "sudo -V" eingesehen werden.)

sudo-Versionen vor 1.6.4 rufen dabei das auf dem System installierte Mail-Programm mit root-Rechten (und nicht den Rechten des Benutzers, der sudo aufruft). Zudem hat ein Angreifer Kontrolle über die Umgebungsvariablen, die beim Aufruf des Mail-Programms verwendet werden. In den 1.6.4-Versionen wird dem lokalen Benutzer die Kontrolle über die Umgebungsvariablen genommen, aber HOME weist immer noch auf ein nicht vertrauenswürdiges Verzeichnis.

Ein Exploit für Versionen vor 1.6.4, der für ein lokal installierten Postfix-MTA funktionieren soll, ist im Umlauf. Weitere MTAs werden wahrscheinlich ebenfalls die Ausnutzung der Schwachstelle gestatten.

Gegenmaßnahmen

Installation von sudo 1.6.5 (oder der neuesten Version) bzw. den Distributor-Updates (sowohl SuSE als auch Debian haben den Fehler korrekt behoben, bei Red Hat verbleibt dagegen das Restrisiko).
Einspielen des Patches von SuSE.
Neukompilierung mit deaktivierter Benachrichtigungsfunktion.

Bitte beachten Sie, daß ältere sudo-Versionen eine weitere Schwachstelle enthalten, die durch Neukompilierung bzw. den oben genannten Patch nicht behoben wird.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=664