Debian DSA-3440-1：sudo - セキュリティ更新

high Nessus プラグイン ID 87852

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

sudo がユーザーに、sudo を使用せず書き込めるディレクトリ下のファイルの編集を許可するよう構成されている場合、ユーザーは実際には任意のファイルの編集（読み取りおよび書き込み）ができます。Daniel Svartman 氏が、編集可能なファイルが次のようにワイルドカードを使用して特定されている場合、このような構成が意図せず導入される可能性があると報告しました。

operator ALL=(root) sudoedit /home/*/*/test.txt

sudo のデフォルトの動作が変更されたため、ユーザーが書き込める、またはユーザーが書き込めるディレクトリのシンボリックリンクに従うことで到達可能なディレクトリのファイルの編集はできなくなりました。これらの制限は無効化することも可能ですが、推奨されません。

ソリューション

sudo パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（wheezy）では、この問題はバージョン 1.8.5p2-1+nmu3+deb7u1 で修正されました。

安定版（stable）ディストリビューション（jessie）では、この問題はバージョン 1.8.10p3-1+deb8u3 で修正されています。