CVE-2025-32463
sudo: локальное повышение привилегий через chroot
CVE-2025-32463 затрагивает sudo с поддержкой опции --chroot и позволяет локальному пользователю подготовить окружение, из которого sudo загрузит нежелательную библиотеку. Обновите sudo и прекратите использование этой устаревающей функции.
Кому нужно проверить
Администраторам Unix/Linux, использующим sudo с chroot, и сопровождающим пакеты sudo в ОС. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Локальный пользователь может создать файл nsswitch.conf в выбранном корне и добиться загрузки произвольной общей библиотеки, после чего выполнить команды с правами root.
Затронутые версии
Sudo 1.9.14–1.9.17 включительно при наличии поддерживаемой системы с /etc/nsswitch.conf и использовании опции -R/--chroot. Версии и конфигурации без применимого chroot-сценария не следует автоматически считать эксплуатируемыми, но старый sudo всё равно нужно обновить.
Исправленные версии
Исправлено в sudo 1.9.17p1; изменение для chroot отменено, а функция помечена устаревшей и планируется к удалению.
Что сделать
- 1Определите версию sudo и наличие разрешений или автоматизации, использующих -R/--chroot; проверьте также пакетный backport в вашей ОС.
- 2До обновления исключите chroot-правила из sudoers и ограничьте доступ к локальным учётным записям, которым они были нужны; это временная мера.
- 3Установите sudo 1.9.17p1 или исправленный пакет поставщика ОС и протестируйте команды, которые ранее зависели от chroot.
- 4Проверьте журналы sudo, целостность системных библиотек и признаки локального повышения привилегий. При подозрении сохраните доказательства до восстановления узла.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.