Eine kritische Sicherheitslücke in sudo erlaubt es lokalen Angreifern, sich Root-Rechte zu verschaffen. Das Sicherheitsunternehmen Qualys hat die Lücke entdeckt, die den Experten zufolge schon seit 2011 in sudo stecken soll.

Verantwortlich für die Sicherheitslücke (CVE-2021-3156) ist ein heap-basierender Buffer-Overflow. Er lässt sich laut den Analysen von Qualys lokal ausnutzen, um sich Root-Rechte auf einem System zu verschaffen ohne sich Authentifizieren zu müssen, sprich ohne Passwort-Eingabe. Laut Qualys wurde das Problem mit einem Commit im Jahr 2011 eingeführt. Es betreffe alte (Version 1.8.2 bis 1.8.31p2) und auch die aktuellen stable Versionen (1.9.0 bis 1.9.5p1) von sudo in der Standard-Konfigration. Ein Update auf die gepatchte Version sudo 1.9.5p2 ist deshalb angeraten. Einige Distributionen haben bereits reagiert.

Bei Qualys sind nach eigenen Angaben drei Exploits entwickelt worden, mit denen sich volle Root-Rechte auf Ubuntu 20.04 (Sudo 1.8.31), Debian 10 (Sudo 1.8.27) und Fedora 33 (Sudo 1.9.2) erschleichen ließen. Andere Systeme und Distributionen seien vermutlich ebenfalls betroffen.

Ubuntu 20.04 LTS ist bereits gepatcht und gibt entsprechend eine Fehlermeldung mit “usage” aus.

Im Blogbeitrag von Qualys ist beschrieben, wie man testen kann, ob die verwendete Distribution betroffen ist. Dafür genüge die Eingabe des Kommandos “sudoedit -s/”. Verwundbare Systeme geben daraufhin einen Fehler aus, der mit “sudoedit” beginnt. Gepatchte Systeme geben ebenfalls eine Fehlermeldung aus, die aber mit “usage” beginnt. Qualys hat zudem ein Video zu den erfolgreichen Exploits veröffentlicht.

Zu den Distributionen, die gepatchte Versionen veröffentlicht haben, zählen unter anderem Suse, Opensuse, Red Hat, Fedora, Ubuntu, Debian, Gentoo, Fedora und Arch Linux.