¡Atención usuarios de Linux!
Se ha descubierto una nueva vulnerabilidad en Sudo—Una de las utilidades más importantes, poderosas y de uso común que viene como un comando central instalado en casi todos los sistemas operativos basados en UNIX y Linux.
La vulnerabilidad en cuestión es un problema de omisión de la política de seguridad de sudo que podría permitir que un usuario malicioso o un programa ejecute comandos arbitrarios como root en un sistema Linux objetivo, incluso cuando la «configuración de sudoers» prohíbe explícitamente el acceso de root.
Sudo, que significa «superusuario hacer», es un comando del sistema que permite a un usuario ejecutar aplicaciones o comandos con los privilegios de un usuario diferente sin cambiar de entorno; la mayoría de las veces, para ejecutar comandos como usuario raíz.
De forma predeterminada en la mayoría de las distribuciones de Linux, la palabra clave ALL en la especificación RunAs en el archivo / etc / sudoers, como se muestra en la captura de pantalla, permite que todos los usuarios de los grupos admin o sudo ejecuten cualquier comando como cualquier usuario válido en el sistema.
Sin embargo, dado que la separación de privilegios es uno de los paradigmas de seguridad fundamentales en Linux, los administradores pueden configurar un archivo sudoers para definir qué usuarios pueden ejecutar qué comandos y qué usuarios.
Por lo tanto, en un escenario específico en el que se le ha permitido ejecutar un comando específico, o cualquier otro, como cualquier otro usuario, excepto la raíz, la vulnerabilidad aún podría permitirle eludir esta política de seguridad y tomar el control total del sistema como raíz.
«Esto puede ser utilizado por un usuario con suficientes privilegios de sudo para ejecutar comandos como root, incluso si la especificación de Runas prohíbe explícitamente el acceso de root siempre que la palabra clave ALL aparezca primero en la especificación de Runas», dicen los desarrolladores de Sudo.
➡️ Caso 3
En lugar de crear una regla solo para tom, dick, harry o bob, cuando bloquea un grupo completo de usuarios con privilegios bajos, lo que les impide ejecutar comandos como cualquier otro grupo (generalmente admin) que también contiene la raíz.
% basic_users_group = (TODOS,!% administrador)
-Mohit Kumar (@unix_root) 17 de octubre de 2019
¿Cómo explotar este error? Solo ID de usuario de Sudo -1 o 4294967295
La vulnerabilidad, rastreada como CVE-2019-14287 y descubierta por Joe Vennix de Apple Information Security, es más preocupante porque la utilidad sudo se diseñó para permitir que los usuarios usen su propia contraseña de inicio de sesión para ejecutar comandos como un usuario diferente sin requerir su contraseña.
Lo que es más interesante es que un atacante puede explotar esta falla para ejecutar comandos como root simplemente especificando la ID de usuario «-1» o «4294967295».
Esto se debe a que la función que convierte la identificación del usuario en su nombre de usuario trata incorrectamente -1, o su equivalente sin firmar 4294967295, como 0, que siempre es la identificación del usuario raíz.
«Además, debido a que el ID de usuario especificado a través de la opción -u no existe en la base de datos de contraseñas, no se ejecutarán módulos de sesión PAM».
La vulnerabilidad afecta a todas las versiones de Sudo anteriores a la última versión 1.8.28, que se lanzó hoy, hace unas horas y pronto se implementará como una actualización de varias distribuciones de Linux para sus usuarios.
Dado que el ataque funciona en un escenario de caso de uso específico del archivo de configuración de sudoers, no debería afectar a una gran cantidad de usuarios. Sin embargo, si usa Linux, le recomendamos encarecidamente que actualice el paquete sudo a la última versión tan pronto como esté disponible.
