Debian DLA-160-1：sudo セキュリティ更新

low Nessus プラグイン ID 82144

Language:

概要

リモートの Debian ホストにセキュリティ更新がありません。

説明

この更新では、次の CVE が修正されます。

CVE-2014-0106

Todd C. Miller 氏は、env_reset オプションが sudoers ファイルで無効の場合、env_delete オプションがコマンドラインで指定された環境変数に正しく適用されないことを報告しました。sudo 権限を持つ悪意のあるユーザーが、ユーザーが実行することを正当に許可されたコマンドの環境を操作することで、昇格された権限で任意のコマンドを実行できる可能性があります。

CVE-2014-9680

Jakub Wilk 氏は、sudo がサニタイズなしでユーザーの環境から TZ 変数を保存することを報告しました。sudo アクセス権を持つユーザーが、これを利用して、TZ 環境変数を解析する C ライブラリ関数のバグを悪用したり、通常は開くことができないファイルを開く可能性があります。後者は、特定のデバイスの特別なファイルを読み取るときにシステムの挙動に変化をもたらしたり、sudo 経由のプログラムの実行をブロックしたりする可能性があります。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 1.7.4p4-2.squeeze.5 で修正されました。

安定版（stable）ディストリビューション（wheezy）では、これらはバージョン 1.8.5p2-1+nmu2 で修正されました。

sudo パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。