CVE-2023-22809
sudoedit: ограниченное редактирование могло дать лишние права
Пользователь с разрешением sudoedit мог редактировать файлы сверх разрешённого списка в старых версиях sudo. Проверьте пакет и делегированные права: обычного наличия локального аккаунта для этой ошибки недостаточно.
Кому нужно проверить
Администраторам Linux-серверов, где сотрудникам или сервисным аккаунтам разрешено менять отдельные системные файлы через sudoedit. Особенно важно проверить серверы с несколькими пользователями. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
sudoedit позволяет открыть разрешённый привилегированный файл обычным редактором. Политика должна ограничивать список файлов. Ошибка обработки настроек редактора из окружения позволяла расширить этот список. Изменение системных настроек может привести к повышению прав. Это не удалённый вход без пароля: сначала нужен доступ к локальной учётной записи с соответствующим разрешением.
Затронутые версии
sudo с 1.8.0 по 1.9.12p1 включительно, если политика sudoers разрешает пользователю sudoedit или sudo -e. Производитель прямо указывает: если доступ к sudoedit никому не выдан, воздействия этой ошибки нет. Учитывайте перенесённые исправления в пакетах ОС. Это отдельная ошибка, не Baron Samedit.
Исправленные версии
Исправлено в upstream sudo 1.9.12p2. У Ubuntu исправленные пакеты могут иметь меньший базовый номер: например, для Ubuntu 22.04 LTS указан 1.9.9-1ubuntu2.2. Это исторические минимумы; используйте актуальный пакет безопасности своей поддерживаемой ОС.
Что сделать
- 1Проверьте полный номер пакета sudo через менеджер пакетов и сопоставьте его с уведомлением поставщика ОС. Не делайте вывод только по sudo --version: исправление могло быть перенесено без обновления базовой версии.
- 2Администратор должен проверить эффективную политику sudoers, включая подключаемые файлы и централизованные правила. Выясните, кому разрешены sudoedit и sudo -e. Не пытайтесь доказать уязвимость изменением защищённого файла.
- 3До обновления отзовите ненужные права sudoedit либо примените описанное производителем ограничение переменных SUDO_EDITOR, VISUAL и EDITOR именно для sudoedit. Изменяйте sudoers через visudo с проверкой синтаксиса. Это временная мера; ошибочное правило может лишить администратора доступа.
- 4Сохраните конфигурацию, обеспечьте отдельный проверенный административный сеанс или консоль восстановления. Проверьте пакет и политику на тестовой системе той же ОС, затем установите штатное обновление безопасности.
- 5После установки проверьте номер пакета и обычную разрешённую операцию на тестовом файле. Убедитесь, что административный доступ сохранился, а лишние разрешения не появились. Не используйте эксплуатационный пример.
- 6Если потребуется откат, сначала восстановите доступ через подготовленную консоль и проверенную конфигурацию. Возврат уязвимого пакета возвращает риск; сохраняйте ограничение sudoedit. При подозрительных действиях изучите изменения системных файлов и журналы доступа.
Примеры конфигурации и проверки
dpkg-query -W -f='${Package} ${Version}\n' sudoДля Debian/Ubuntu с установленным dpkg. Выполняется обычным пользователем, только читает сведения о пакете и не требует отката. Ожидается имя sudo и полный номер версии; сравните его с бюллетенем именно своей ОС и выпуска. Отсутствие пакета или ошибка команды не подтверждают безопасность другой установки. Пример не проверяет права sudoedit.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.