Sebastien Macke 氏は、env_reset オプションが無効にされているとき、Sudo がブラックリストにある環境変数を不適切に処理していることを発見しました。ローカルの攻撃者がこの問題を利用して、ブラックリストにある環境変数を使用して意図していないコマンドを実行する可能性があります。デフォルトの Ubuntu インストールで、env_reset オプションはデフォルトで有効になっています。この問題により影響を受けるのは、Ubuntu 10.04 LTS と Ubuntu 12.04 LTS のみです。（CVE-2014-0106）

Sudo init スクリプトが、完全に無効にするためにエポックを使用せずに、既存のタイムスタンプファイルに過去の日付を設定することが判明しました。ローカルの攻撃者が、システム時刻を修正し、タイムスタンプファイルを再利用しようとする可能性があります。この問題により影響を受けるのは、 Ubuntu 12.04 LTS、Ubuntu 12.10、および Ubuntu 13.10 のみです。（LP: #1223297）。

検出

Ubuntu 10.04 LTS / 12.04 LTS / 12.10 / 13.10：sudo 脆弱性（USN-2146-1）

medium Nessus プラグイン ID 73016

変更ログが見つかりません