Одним из значительных преимуществ иерархии допусков Linux является его способность не позволять недоверенным пользователям наломать дров.
Однако root-доступ в духе «все или ничего» может стать причиной проблем в случае доверенных пользователей, но так было до этого момента.
С этим вопросом пытается разобраться утилита sudo. Это ей удается сравнительно неплохо, если не принимать во внимание периодический сбой.
Сбой такого рода произошел на прошлой неделе, дав менее привилегированным пользователям обойти защиту sudo и получить полномочия других пользователей, включая высшие полномочия root.
В итоге это многократно увеличило успешность совершения различных хакерских и ddos-атак. Многие ли вебмастера знают как защититься от ддос атак?
Уязвимость в символической команде sudo (sudo -e) позволила выполнять произвольные команды тем, кто был наделен полномочиями для использования команды. (Пользователи могут получать доступ к определенным возможностям, например, sudoedit без получения полного доступа sudo).
Инструкция по безопасности sudo
Когда sudo выполняет сопоставление своих команд, существует особый случай для символических команд в файле sudoers (на настоящий момент единственной символической командой является sudoedit). В отличие от обычной команды символическая начинается на со слэш-символа («/»).
Уязвимость заключается в том, что сопоставление кода sudo выполнит проверку в отношении списка символических команд, если заданная пользователем команда также не содержала слэш-символов.
Таким образом, если пользователь выполнил команду «sudo ./sudoedit» и был выбран обычный путь сопоставления кода, который использует stat(2) для подтверждения того, что заданная пользователем команда совпадает с той, что находится в sudoers.
В таком случае заданная пользователем «./sudoedit» будет сравнена с «sudoedit» из файла sudoers, результатом чего станет положительное совпадение.
Однако в инструкции по безопасности сказано, что влияние уязвимости минимизируется параметрами утилиты по умолчанию. Так или иначе, грамотные специалисты и вебмастера знают, что защита от DDoS атак жизненно необходима любым ресурсам.
Использование сбоя зависит от того, был ли sudoedit активирован в /etc/sudoers: символическая команда не предусмотрена стандартными параметрами, делая большую часть установок неуязвимой для атак.
Все версии sudo от 1.6.9 до 1.7.2p3, (стабильные релизы на момент их выпуска) неисправны: версии 1.7.2p4 (на смену которой сейчас пришла 1.7.2p5) и 1.6.9p21 patch устраняют уязвимость. Mandriva, Red Hat и Ubuntu уже предоставили пользователям обновленные версии.
Довольно любопытно то, что sudo, творение студентов SUNY/Buffalo Клиффа Спенсера (Cliff Spencer) и Боба Когшелла (Bob Coggshall), в этом году исполнится 30 лет. Хотя ее зачастую связывают с зависимыми от sudo дистрибутивами, например Ubuntu, которая полностью отключает учетную запись с правами администратора, впервые она появилась в 1980 году, за 11 лет до того, как началась разработка Linux.
Утилиту последовательно переписывали в течение трех десятилетий, в результате оригинального кода уже не осталось. Узнать о sudo и ее разработке более подробную информацию можно на вебсайте проекта sudo.