Una vulnerabilidad en Sudo, una de las utilidades más relevantes de Linux, permite ejecutar comandos con acceso raíz, incluso cuando estos no están autorizados por el usuario. Dicha vulnerabilidad omite la política de seguridad de sudo, permitiendo así que otros usuarios o programas ejecuten comandos root.
La noticia llega semanas después de conocer los esfuerzos a nivel de seguridad que se están haciendo en el propio kernel de Linux que, a partir de la versión 5.4, no podrá ser modificado ni siquiera por los usuarios que tengan permisos root, siempre y cuando activen 'Lockdown', un módulo de seguridad opcional.
Acceso raíz para cualquier usuario
Como adelantábamos, la vulnerabilidad descubierta en Sudo permite ejecutar comandos con permisos root. En la mayoría de distros de Linux, el comando ALL, dentro de RunAs (archivo/etc/sudoers) permite a los usuarios ejecutar cualquier tipo de comando.
Sin embargo, se ha descubierto que se puede configurar un archivo sudoers para establecer qué usuarios pueden ejecutar comandos con estos permisos raíz y cuáles no. De este modo, aunque un usuario haya configurado que no se pueden ejecutar ciertos comandos con acceso root, bastaría con modificar el archivo sudoers para eludir dicha política de seguridad.
La vulnerabilidad ha sido descubierta por Joe Vennix (Apple Information Security), y rastreada como CVE-2019-14287. Como explican en The Hacker News, dicho fallo puede ser explotado por cualquier atacante con tan solo especificar el ID de usuario "-1" o ""4294967295"", identificaciones que proporcionan acceso raíz.
Las versiones de Sudo afectadas son todas aquellas anteriores a las 1.8.28, por lo que se recomienda actualizar a la última versión con la mayor brevedad posible para evitar la vulnerabilidad.
Vía | The Hacker News
También te recomendamos
Vulnerabilidad de escalada de privilegios en el kernel Linux
-
La noticia Una vulnerabilidad en Sudo permite ejecutar comandos root sin permiso del usuario fue publicada originalmente en Genbeta por Ricardo Aguilar .
☛ El artículo completo original de Ricardo Aguilar lo puedes ver aquí.
No hay comentarios.:
Publicar un comentario