LINUX.ORG.RU
Новости — Безопасность  

Обнаружена уязвимость в sudo

 , ,


0

3

В популярной утилите для запуска программ от других пользователей обнаружена уязвимость, потенциально позволяющая получить привилегии root.

Баг обнаружен в функции sudo_debug(), где название программы (argv[0]) передается прямо в fprintf(). Проверить наличие уязвимости можно следующим простым способом:

$ ln -s /usr/bin/sudo ./%s
$ ./%s -D9
Segmentation fault

Уязвимости подвержены версии 1.8.0-1.8.3p1. Разработчики рекомендуют обновиться до 1.8.3p2 как можно скорее.

>>> Подробности

★★★★★

Проверено: maxcom ()
Последнее исправление: provaton (всего исправлений: 4)
← WPS уязвима для атаки перебором
Mozilla Firefox 10 ESR уже здесь →
  1 2 3 4 5 6 7 8

Ну всё, прицепились к маленькой ошибке в судо, сразу видно как сильно сплочён коллектив, когда пере*раться нужно...
Гадит в комменты все могут, но многие ли из обсуждающих хоть один багрепорт отправили? ЛОР сливается...
Кстати, это никого не тревожит?

xSudo ★★★
()
Ответ на: комментарий от xSudo

не, не тревожит. сегодня на повестке sudo обплевать, не до фрюхи

mumpster ★★★★★
()

$ ./%s -D9 ./%s: неверный ключ — «D»

anonymous
()

Допишите уже в заголовок новости номер уязвимой версии, а то уже дебилы с бессмысленными сообщениями задрали.

anonymous
()
Ответ на: комментарий от winlook38

gksu. кеды вообще умеют это через стандартный диалог alt-f2

Binary ★★★★★
()

Разработчики рекомендуют обновиться до 1.8.3p2 как можно скорее.

% sudo -V                                                                                                                                 
Sudo version 1.8.3p2
Sudoers policy plugin version 1.8.3p2
Sudoers file grammar version 40
Sudoers I/O plugin version 1.8.3p2
% ln -s /usr/bin/sudo ./%s
%./%s -D9
 27m%s: settings: debug_level=9
%s: settings: progname=%s
%s: settings: implied_shell=true
%s: settings: network_addrs=192.168.0.42/255.255.255.0 fe80::215:afff:fed0:f783/ffff:ffff:ffff:ffff::
SUDO(8)                              MAINTENANCE COMMANDS                                             SUDO(8)
%s: sudo_mode 655361
%s: policy plugin returns -2
usage: %s [-D level] -h | -K | -k | -V
usage: %s -v [-AknS] [-D level] [-g groupname|#gid] [-p prompt] [-u user name|#uid]
usage: %s -l[l] [-AknS] [-D level] [-g groupname|#gid] [-p prompt] [-U user name] [-u user name|#uid] [-g groupname|#gid] [command]
usage: %s [-AbEHknPS] [-C fd] [-D level] [-g groupname|#gid] [-p prompt] [-u user name|#uid] [-g groupname|#gid] [VAR=value] [-i|-s]
          [<command>]
usage: %s -e [-AknS] [-C fd] [-D level] [-g groupname|#gid] [-p prompt] [-u user name|#uid] file ...

The fuck?

unlog1c ★★★
()
Ответ на: комментарий от daemonpnz

Встречный вопрос, куда тогда ты дел свои мозги? Если не понятно с первого раза, я повторю: Тс ничего не сказал о том что существует ли подобная уязвимость в предыдущей версии.

e000xf000h ☆
()
Ответ на: комментарий от e000xf000h

> Тс ничего не сказал о том что существует ли подобная уязвимость в предыдущей версии.

Если сказано, что уязвимости подвержены версии в диапазоне v_min - v_max, то это значит что в версиях меньших чем v_min, и больших чем v_max - уязвимости нет. В момент написания новости мне казалось, что такое разжевывание очевидных вещей - это оскорбление читателей, но похоже я ошибался...

provaton ★★★★★
() автор топика
Ответ на: комментарий от provaton

нет. нашёл в сети на немецкоговорящем форуме для троллей

swar0g ★★★★
()
Ответ на: комментарий от anonymous

мой ип 81.198.204.163

nmap говорит, что ты вендузятнег

Satou ★★★★
()
Ответ на: комментарий от xtraeft

Сосвсем слово баян потеряло свой смысл. Каждый считает своим долгом посцать на пост словами «бОян, Ъ, тру, /fixed, ШГ и т.д.»

Уязвимости всего лишь месяц. Не нравится, вот держи свежую.

xSudo ★★★
()
Ответ на: комментарий от xSudo

Уязвимость позволяет удаленному пользователю вызвать отказ в обслуживании приложения.

сравнимо с локал рут эксплойтом в сабже, ага :)

Уязвимости всего лишь месяц.

зато на лоре уже обсуждали

xtraeft ★★☆☆
()
Ответ на: комментарий от vsemnazlo

лол. я-то знаю, но какой смысл настраивать sudo если есть православный su? у меня всегда один терминал от рута открыт.

nehalem
()
Ответ на: комментарий от winlook38

но firefox я запускаю из-под учетки другого пользователя.

А я использую AdBlock и NoScript. Линукс основной системой стоит где-то с середины 2008 или что-то около, проблем до сих пор не было, брат жив.

Deleted
()
Ответ на: комментарий от winlook38

> как мне сделать то же самое без sudo и чтобы было удобно этим пользоваться?

Ну можно запускать в чруте. Можно запускать в виртуалке. Зависит от степени извращенности фантазии.

provaton ★★★★★
() автор топика
Ответ на: комментарий от Binary

Не ясно, нахрена ты несешь чушь про то что я не нуждаюсь в su, если я с помощью нее (команды) логинюсь в терминале рутом.

Отсыпь.

nehalem
()
Ответ на: комментарий от Binary

Нахрена мне давать привилегии рута обычному пользователю по дефолту? А sudo сосет потому что неудобно. Ты точно ненормальный какой-то. Что доказать-то пытаешься?

nehalem
()
Ответ на: комментарий от nehalem

btw, если ты открываешь отдельный терминал рута, то чем sudo -i принципиально неудобнее su? ты какой-то странный.

Binary ★★★★★
()
Ответ на: комментарий от Binary

все просто: судо -ай — 7 символов печатать вместе с пробелом, а су — 2. зачем печатать больше? зачем настраивать судо в уютном сл?

nehalem
()
Ответ на: комментарий от Binary

пойди проспись, я ничего не говорил о привилегиях рута обычному пользователю.

О гуру, расскажи. Хорош томить душу и умничать. Задача: запущен какой-то гном. Нужно открыть рутовый терминал. Пользоваться sudo нельзя. Пользоваться su нельзя. Э?

anonymous
()
Ответ на: комментарий от nehalem

дело привычки на самом деле. ну и как ты будешь через su организовывать рут-доступ двум разным пользователям одного компьютера, тоже загадка. так что плясать от задачи. не нужен тебе sudo - ну Бог с ним, но много случаев, когда он зело удобен.

Binary ★★★★★
()
Ответ на: комментарий от Binary

1. Ctrl-Alt-F1

Прошу прощения, забыл дописать в условие задачи, что терминал не текстовый, а одно из окошек gnome-shell или чего там, ибо между текстовым и графическим режимами переключаться взападло.

anonymous
()
Ответ на: комментарий от Binary

как ты будешь через su организовывать рут-доступ двум разным пользователям одного компьютера, тоже загадка.

никакой загадки. мой ноут — один пользователь, т.е. я. к тому же одновременно два рута нужны ой как редко, так шта этот пример высосан из пальца.

1. Ctrl-Alt-F1

2. login: root

3. password: ****

4. ???????

5. PROFIT!!!!

это конечно круче чем вбить в гуйне две буквы. но зачем?

и да

утверждать, что твой юзкейс удобен для всех, как-то глупо

немного странное заявление от человека, который решил рассказать что мне не нужен su, не находишь?

nehalem
()
Ответ на: комментарий от nehalem

1. Вбивать в гуйне буквы? Да вы, батенька... ну тем не менее, вводить надо ещё и пароль, причём не свой, а рута.

2. Ну что ты такой скучный? Я не говорил, что su не нужен, я лишь говорил, что в твоём случае можно даже и без него. Намекая на то, что вот тебе вообще с*ать на то, чем пользоваться, su или sudo, (Кстати, gksu тоже su юзает?) а ты тут развёл бодягу «sudo не нужен». Разница в 6 ударов по клаве смешна, это 1 секунда потерянного времени в начале сессии, зато пароль всего один, а можно и вообще ни одного. К тому же, для особо нетерпеливых есть alias. Такие дела.

Binary ★★★★★
()
Ответ на: комментарий от nehalem

что делать с компьютером с >1 пользователя, когда нужен рут (в том или ином объёме) более, чем одному пользователю?

Binary ★★★★★
()
Ответ на: комментарий от Binary

1. Вбивать в гуйне буквы? Да вы, батенька... ну тем не менее, вводить надо ещё и пароль, причём не свой, а рута.

до тебя на самом деле не доходит, что залогиниться через су в гуйне быстрее-проще-удобнее-грамотнее чем переться в другой виртуальный терминал? а выключать машину из гуйни ты пробовал, когда в Ctrl-Alt-Fх залогинен рут? или опять ковырять конфиги ради осуществления твоих наркоманских идей?

2. Ну что ты такой скучный? Я не говорил, что su не нужен, я лишь говорил, что в твоём случае можно даже и без него. Намекая на то, что вот тебе вообще с*ать на то, чем пользоваться, su или sudo, (Кстати, gksu тоже su юзает?) а ты тут развёл бодягу «sudo не нужен». Разница в 6 ударов по клаве смешна, это 1 секунда потерянного времени в начале сессии, зато пароль всего один, а можно и вообще ни одного. К тому же, для особо нетерпеливых есть alias. Такие дела.

ты гонишь. ты пытаешься навязать мне какую-то левую ненужную бодягу и рассказываешь как мне удобнее работать. пойди лучше воздухом подыши, авось отпустит. такие дела.

nehalem
()
Ответ на: комментарий от nehalem

Всю дорогу говорил «так можно», а не «делай так». «ТЕБЕ так удобнее, а другим нет», а не «удали su», но ты постоянно что-то говорил абсолютно не в тему про работу под рутом. Вот и сейчас какой-то нерелевантный пердёж.

Последний раз для купивших билет на экскурсию на бронепоезде: я НЕ считаю, что так удобнее, но был вопрос, КАК это сделать, когда нет su. Ответ есть, решение рабочее. У sudo есть вполне конкретная область применения, он и стоит на своём месте. Вопрос: о чём трём то?

Binary ★★★★★
()
Ответ на: комментарий от Binary

хз о чем ты тут сам с собой трешь. я уже давно забил, даже не читаю чо ты пишешь. а началось все вот с этого:

у меня всегда один терминал от рута открыт.

с таким подходом можно и без su

откуда тебе убогому знать как мне можно и как мне удобнее? пойди что ли маме своей посоветуй как борщи варить. только не выливай на меня всю это чушь про то как важно настроить судо и алиасы, мне это нахрен не нужно.

nehalem
()
Ответ на: комментарий от nehalem

ты наркоман чтоли? слово можно не отличаешь от нужно и удобно? ну иди учись читать, че я могу сказать

Binary ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
  1 2 3 4 5 6 7 8
← WPS уязвима для атаки перебором
Безопасность
Mozilla Firefox 10 ESR уже здесь →