Linuxの「sodo」コマンドに深刻な脆弱性が発見されました。
本来であれば、root権限を使用できない
ユーザーでもそれが奪取可能になるというものです。
これは、sudoの権限設定ファイル「sudoers」を
正しく設定していも発生する脆弱性になり、
完全にrootとして振る舞えます。
速やかなsudoコマンドの更新が必要ですが、
2019/10/16現在、ディストリビューションによっては、
更新が用意できていない場合があります。
でも安心してください。プロのエンジニアはコマンドを暗記していません。
「現場で使える型」を効率よく使いこなしているだけです。
以下、アナウンスサイトの引用となります。
この脆弱性は、sudoコマンドのユーザーIDに-1もしくは4294967295を指定すると、誤って0(ゼロ)と認識して処理してしまうというもの。0(ゼロ)はrootのユーザーIDであるため、攻撃者は完全なrootとしてコマンドを実行できることになります。さらに、指定されたユーザーIDがパスワードのデータベースに存在しないため、Linuxシステム上でアプリケーションが共通して使用するPAMユーザー認証のセッションモジュールが働かず、コマンドの実行にパスワードは要求されません。
Linuxの「sudo」コマンドにroot権限奪取の脆弱性。ユーザーID処理のバグで制限無効化
事象再現などの詳しい情報は下記ページが参考になります。
sudoの脆弱性情報(Important: CVE-2019-14287)と新バージョン(1.8.28)
AWSにおけるsudo脆弱性情報(CVE-2019-14287)の対応状況をまとめてみた
3,100名以上が実践した「型」を無料で公開中
プロのエンジニアはコマンドを暗記していません。
「現場で使える型」を効率よく使いこなしているだけです。
その「型」を図解60Pにまとめた入門マニュアルを、完全無料でプレゼントしています。
登録10秒／合わなければ解除3秒 ／ 詳細はこちら
この記事を書いた人
宮崎 智広（みやざき ともひろ）
株式会社イーネットマーキュリー代表。現役のLinuxサーバー管理者として15年以上の実務経験を持ち、これまでに累計3,100名以上のエンジニアを指導してきたLinux教育のプロフェッショナル。「現場で本当に使える技術」を体系的に伝えることをモットーに、実践型のLinuxセミナーの開催や無料マニュアルの配布を通じてLinux人材の育成に取り組んでいる。
趣味は、キャンプにカメラ、トラウト釣り。好きな食べ物は、ラーメンにお酒。休肝日が作れない、酒量を減らせないのが悩み。最近、ドラマ「フライトエンジェル」を観て涙腺が崩壊しました。
- 次のページへ：Fedora 31リリース
- 前のページへ：CentOS8とCentOS7の違い、変更点のまとめ
- この記事の属するカテゴリ：Linux情報・技術・セキュリティへ戻る
無料メルマガで学習を続ける
Linuxの実践スキルをメールで毎週お届け。
登録は1分、解除もいつでも可。
登録無料・いつでも解除できます