☰

Sudoの脆弱性のヒープベースのバッファオーバーフロー - Sudoのバージョンは影響を受けますか？

tag-icon • tag-icon ubuntu sudo vulnerability
Sudoの脆弱性のヒープベースのバッファオーバーフロー - Sudoのバージョンは影響を受けますか？

Ubuntu 18.04.5 LTSを実行しているサーバーがあります。

sudo:amd64 1.8.21p2-3ubuntu1.4sudoパッケージの最後の更新を見ると、2021年1月26日（当日）にインストールされたことがわかります。Sudoの脆弱性のヒープベースのバッファオーバーフロー、CVE-2021-3156 公開済み）

~によるとこのリスト、sudoバージョン1.8.21p2はこの脆弱性の影響を受けます。

ただし、システムが脆弱であることを確認するためにテストコマンドを実行すると、次の結果が表示されます。

# sudoedit -s /
usage: sudoedit [-AknS] [-r role] [-t type] [-C num] [-g group] [-h host] [-p prompt] [-T timeout] [-u user] file ...

システムがこの脆弱性の影響を受けない場合の出力。

私のシステムは脆弱ですか？バージョンリストとコマンド出力の間に矛盾がありますか？

答え1

あなたが見ているバージョンのリストには、プロジェクト自体sudoで発表されたバージョンのみが記録されていますsudo。 Ubuntuなどのディストリビューションは、最新バージョンにアップグレードするのではなく、これらのセキュリティ脆弱性を解決するためにパッチを追加することがよくありますsudo。

あなたのバージョンが影響を受けるかどうかを確認するには、次の点を確認する必要があります。ディストリビューションが提供するセキュリティ情報; この場合、関連する通知は次のとおりです。USN-4705-1、バージョンが変更されたことを示します。

また、次の場所でパッケージ変更ログを表示できます/usr/share/doc/sudo/changelog.Debian.gz。これには、現在システムにインストールされているバージョンで処理されているCVE（存在する場合）が一覧表示されます。

  * SECURITY UPDATE: dir existence issue via sudoedit race
    - debian/patches/CVE-2021-23239.patch: fix potential directory existing
      info leak in sudoedit in src/sudo_edit.c.
    - CVE-2021-23239
  * SECURITY UPDATE: heap-based buffer overflow
    - debian/patches/CVE-2021-3156-pre1.patch: check lock record size in
      plugins/sudoers/timestamp.c.
    - debian/patches/CVE-2021-3156-pre2.patch: sanity check size when
      converting the first record to TS_LOCKEXCL in
      plugins/sudoers/timestamp.c.
    - debian/patches/CVE-2021-3156-1.patch: reset valid_flags to
      MODE_NONINTERACTIVE for sudoedit in src/parse_args.c.
    - debian/patches/CVE-2021-3156-2.patch: add sudoedit flag checks in
      plugin in plugins/sudoers/policy.c.
    - debian/patches/CVE-2021-3156-3.patch: fix potential buffer overflow
      when unescaping backslashes in plugins/sudoers/sudoers.c.
    - debian/patches/CVE-2021-3156-4.patch: fix the memset offset when
      converting a v1 timestamp to TS_LOCKEXCL in
      plugins/sudoers/timestamp.c.
    - debian/patches/CVE-2021-3156-5.patch: don't assume that argv is
      allocated as a single flat buffer in src/parse_args.c.
    - CVE-2021-3156

答え2

~によるとhttps://packages.ubuntu.com/bionic-updates/sudo脆弱ではなくなったパッチバージョンを実行しています。

関連情報