DebianDSA-4543-1：sudo - セキュリティ更新

high Nessus プラグイン ID 129856

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

Joe Vennix氏は、ユーザーがRunas仕様のALLキーワードを介して、任意ユーザーとしてコマンドを実行できるように構成されている場合に、制限されたスーパーユーザー権限を特定のユーザーに提供するように設計されているプログラムであるsudoにより、ユーザーIDを-1または、4294967295に指定することで、rootとしてコマンドを実行できることを発見しました。これにより、Runas仕様が明示的にrootアクセスを許可しない場合でも、十分なsudo権限を持つユーザーがrootとしてコマンドを実行する可能性があります。

詳細については、https://www.sudo.ws/alerts/minus_1_uid.htmlのupstreamアドバイザリを参照してください

ソリューション

sudoパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（stretch）では、この問題はバージョン1.8.19p1-2.1+deb9u1で修正されています。

安定版（stable）ディストリビューション（buster）では、この問題はバージョン1.8.27-1+deb10u1で修正されています。