Qualys Securityチームは、特定のユーザーに限定されたスーパーユーザー権限を提供するように設計されたプログラムであるsudoが、フィールド7（tty_nr）からttyのデバイス番号を読み取るために「/proc/[pid]/stat」を適切に解析しないことを発見しました。sudoersのユーザーは、SELinuxが有効なシステムでこの欠陥を利用して、完全なroot権限を取得できます。

Debian 7「Wheezy」では、この問題はバージョン1.8.5p2-1+nmu3+deb7u3で修正されました。

Debian 8「Jessie」では、この問題はバージョン1.8.10p3-1+deb8u4で修正されました。

sudo パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-970-1: sudo セキュリティ更新

medium Nessus プラグイン ID 100519

バージョン 3.14