CVE-2025-32462
sudo: обход ограничения host в sudoers
CVE-2025-32462 позволяет локальному пользователю применить правило sudoers для другого хоста на текущей машине. Проверьте старые версии sudo и правила с конкретным полем host.
Кому нужно проверить
Администраторам Linux/Unix, сопровождающим sudoers, LDAP/SSSD-политики и общие конфигурации для нескольких машин. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Пользователь, уже перечисленный в sudoers, может выбрать другой host при проверке правила и выполнить разрешённую там команду на текущей машине, потенциально получив root.
Затронутые версии
Sudo 1.8.8–1.9.17 включительно, когда sudoers содержит правило с host, отличным от текущего хоста и от ALL. Общие правила с host ALL этим условием не затрагиваются.
Исправленные версии
Исправлено в sudo 1.9.17p1. Пакет дистрибутива может иметь другой номер из-за backport, поэтому сверяйте changelog и security notice поставщика ОС.
Что сделать
- 1Проверьте фактическую версию sudo и правила из локальных, LDAP и SSSD-источников. Найдите host-поля, которые не равны текущему имени машины и не используют ALL.
- 2До обновления временно удалите или сузьте такие правила после проверки ожидаемого доступа; сначала сохраните конфигурацию и согласуйте изменение с владельцами систем.
- 3Установите sudo 1.9.17p1 или исправленный пакет поставщика ОС, затем выполните visudo-проверку локальной политики и проверьте доступ на тестовом хосте.
- 4Просмотрите журналы sudo за период воздействия, особенно команды от пользователей, имевших host-специфичные разрешения, и расследуйте неожиданные root-действия.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.