Miljonid Linuxi ja Unixi süsteemid on sattunud tõsistesse turvariskidesse kahe haavatavuse ilmnemise tõttu Sudos . Sudo on põhitööriist, mis võimaldab kasutajatel kontrollitud viisil kõrgendatud õigustega käske täita. Neid vigu, mis on identifitseeritud kui CVE-2025-32462 ja CVE-2025-32463 , on hiljuti analüüsinud ja neist teatanud küberturvalisuse eksperdid, kes on hoiatanud nende mõju ja paranduste rakendamise kiireloomulisuse eest.
Avastus on pannud süsteemiadministraatorid ja ettevõtted valvsaks, kuna Sudo on enamikus GNU/Linuxi distributsioonides ja sarnastes süsteemides, näiteks macOS-is, vaikimisi olemas. Mõlemad haavatavused võimaldavad privileegide eskaleerimist kontodelt ilma administraatoriõigusteta, kahjustades mõjutatud süsteemide terviklikkust.
Mis on Sudo ja miks see nii oluline on?
Sudo on Unixi keskkondades oluline utiliit, mida kasutatakse administratiivsete ülesannete täitmiseks ilma root-kasutajana sisse logimata . See tööriist pakub detailset kontrolli selle üle, millised kasutajad saavad teatud käske käivitada, aidates järgida minimaalsete õiguste põhimõtet ja logides kõiki toiminguid auditeerimise eesmärgil.
Sudo konfiguratsiooni hallatakse failist /etc/sudoers , mis võimaldab teil määratleda konkreetsed reeglid kasutaja, käsu või hosti põhjal, mis on levinud tava turvalisuse tugevdamiseks suurtes infrastruktuurides.
Sudo haavatavuste tehnilised üksikasjad
CVE-2025-32462: Hosti valiku tõrge
See haavatavus oli Sudo koodis peidus olnud üle kümne aasta., mis mõjutab stabiilseid versioone alates 1.9.0 kuni 1.9.17 ja pärandversioone alates 1.8.8 kuni 1.8.32. Selle päritolu peitub valikus -h o --host, mis algselt peaks piirduma teiste arvutite loetlemise õigustega Juhtimistõrke tõttu saab seda aga süsteemis endas root-kasutajana käskude täitmiseks või failide redigeerimiseks kasutada.
Rünnakuvektor kasutab ära spetsiifilisi konfiguratsioone, mis piiravad sudo reegleid teatud hostide või hostinimede mustritega . See võimaldab kohalikul kasutajal petta süsteemi simuleerima käske teisel lubatud hostil ja saada juurjuurdepääs ilma keeruka ärakasutamiseta.
Selle vea ärakasutamine on eriti murettekitav ettevõttekeskkondades, kus juurdepääsu segmenteerimiseks kasutatakse tavaliselt Host või Host_Alias direktiive. Täiendavat ärakasutamise koodi pole vaja, lihtsalt käivitage Sudo valikuga -h ja hostil on lubatud piirangutest mööda hiilida.
CVE-2025-32463: Chroot-funktsiooni kuritarvitamine
CVE-2025-32463 puhul on raskusaste suurem : versioonis 1.9.14 (2023) chroot-funktsioonis sisse toodud viga võimaldab igal kohalikul kasutajal käivitada suvalist koodi enda kontrolli all olevatest teedest, saades seeläbi administraatori õigused.
Rünnak põhineb nimeteenuse vahetamise (NSS) süsteemi manipuleerimisel. Sudo käivitamine valikuga -R (chroot) ja määrates ründaja poolt kontrollitava kataloogi root'iks, laadib Sudo sellest manipuleeritud keskkonnast konfiguratsioonid ja teegid. Ründaja saab sundida pahatahtliku jagatud teeki laadima (näiteks läbi /etc/nsswitch.conf (võlts ja chroot-juurkaustas ettevalmistatud teek), et süsteemile juurkest hankida. Selle vea olemasolu on kinnitust leidnud mitmes distributsioonis, seega on soovitatav olla kursis uusimate värskendustega.
Selle tehnika lihtsust on reaalsetes stsenaariumides kontrollitud, kasutades teeki loomiseks ainult C-kompilaatorit ja käivitades vastava käsu sudo abil. Tehnilist keerukust ega keerukate konfiguratsioonide ärakasutamist pole vaja.
Need kaks haavatavust on kinnitust leidnud Ubuntu, Fedora ja macOS Sequoia uuemates versioonides, kuigi mõjutatud võivad olla ka teised distributsioonid. Parema kaitse tagamiseks on oluline rakendada arendajate soovitatud värskendusi.
Mida administraatorid ja kasutajad peaksid tegema
Ainus efektiivne lahendus on Sudo uuendamine versioonile 1.9.17p1 või uuemale, kuna see versioon lahendab mõlemad probleemid: host-valiku kasutamine on piiratud selle seadusliku kasutamisega ning chroot-funktsiooni tee ja teekide halduse osas on muudatusi tehtud . Suuremad distributsioonid, nagu Ubuntu, Debian, SUSE ja Red Hat, on vastavad parandused juba välja andnud ning nende repositooriumid sisaldavad turvalisi versioone.
Turvaeksperdid soovitavad ka auditeeri faile /etc/sudoers y /etc/sudoers.d et leida Host või Host_Alias direktiivide võimalikke kasutusviise ja kontrollida, et puuduvad reeglid, mis lubavad vea ärakasutamist.
Tõhusaid lahendusi pole. Kui te ei saa kohe värskendada, on soovitatav hoolikalt jälgida administraatori juurdepääsu ja piiranguid, kuigi nakatumise oht on endiselt suur. Lisateavet meetmete ja soovituste kohta leiate sellest Linuxi turvavärskenduste juhendist.
See juhtum rõhutab regulaarsete turvakontrollide ja oluliste komponentide, näiteks Sudo, ajakohasena hoidmise olulisust. Varjatud vigade olemasolu enam kui kümne aasta jooksul nii laialt levinud utiliidis on terav meeldetuletus ohtudest, mis kaasnevad pimesi infrastruktuuri tööriistadele lootmisega ilma pideva ülevaatuseta.
Nende haavatavuste avastamine Sudos rõhutab ennetavate paranduste ja auditeerimisstrateegiate olulisust. Administraatorid ja organisatsioonid peaksid oma süsteemid üle vaatama, rakendama saadaolevaid parandusi ja olema valvsad tulevaste probleemide suhtes, mis mõjutavad kriitilisi operatsioonisüsteemi komponente.
