Durch einen Pufferüberlauffehler können lokale Benutzer über sudo root-Rechte erlangen (auch wenn sie nicht bei sudo registriert sind).

Betroffene Systeme

• Mindestens Systeme, die sudo in Versionen seit 1.6.0 verwenden.

Nicht betroffene Systeme

• Systeme, die sudo 1.6.6 verwenden.

Einfallstor
lokaler Account

Auswirkung
Lokale Benutzer sind in der Lage, root-Rechte zu erlangen. Den Benutzern müssen über sudo keine besonderen Rechte zugeteilt worden sein.

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Kontext
Sudo ist ein populäres Werkzeug, das auf UNIX-Plattformen dazu eingesetzt wird, um Benutzern Privilegien auf eine sehr viel differenziertere Weise zu gewähren, als dies das UNIX-Rechtekonzept zuläßt. Die Philosophie besteht darin, daß soviele Privilegien wie nötig aber so wenig wie möglich erteilt werden können. Mittels sudo kann der Administrator Benutzern die Möglichkeit geben, Kommandos unter der UID root oder einer anderen UID auszuführen. Ein SETUID-Bit für das auszuführende Kommando ist dabei nicht nötig.

Beschreibung
Über den Parameter "-p" kann beim Aufruf von sudo eine alternative Anfrage (prompt) für das Paßwort gewählt werden (der dann das üblich "Password:" ersetzt). Der Prompt kann dabei spezielle Zeichenfolgen enthalten, die durch den Benutzer- oder Hostnamen ersetzt werden. Bei der Konstruktion des Prompts wird intern ein zu kleiner Puffer angelegt, falls diese Ersetzungen verwendet werden. sudo schreibt über das Ende dieses Puffers hinaus. Es scheint möglich zu sein, über diese Schwachstelle beliebigen Code mit root-Rechten auszuführen. Da der Paßwort-Prompt auch dann angezeigt wird, wenn der Benutzer gar nicht registriert ist (also nicht in /etc/sudoers eingetragen ist), können alle lokalen Benutzer diese Schwachstelle ausnutzen.

Gegenmaßnahmen

• Einspielen eines Patches oder
• Installation von sudo 1.6.6.

Vulnerability ID

• GIS Advisory ID 2002041701

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/