Opdater nu: Alvorligt sikkerhedshul opdaget i populært Linux-værktøj

En alvorlig fejl i det populære Linux-hjælpeprogram Sudo giver selv brugere med begrænsede rettigheder adgang til at afvikle root-kommandoer. Øjeblikkelig opdatering anbefales.

Det populære Linux-værktøj Sudo er ramt af en alvorlig sikkerhedsfejl.

Det skriver Computerworlds svenske søstermedie Techworld.

Sudo er et af de vigtigste og mest brugte sikkerhedsværktøjer i Linux, Unix og i terminalen på Mac OS X.

Sudo (Superuser Do) bruges til at afvikle en applikation eller en kommando som en anden bruger - oftest i root.

Derfor er det et af de sidste værktøjer, man har lyst til at have en fejl i, skriver The Hacker News.

Som udgangspunkt tillader de fleste såkaldte *nix-systemer alle brugere at afvikle root-kommandoer gennem Sudo.

Administratorer kan dog indføje begrænsninger i den såkaldte ‘/etc/sudoers/’-fil, sådan at bestemte brugere ikke kan afvikle specifikke kommandoer via Sudo. Men den specifikke fejl tillader brugere at omgå disse begrænsninger.

Fejlen, der er registreret CVE-2019-14287, blev fundet af Joe Vennix hos Apple Information Security.

Techworld skriver, at fejlen jo altså kun kan rammer de, som har indført begrænsninger for brugerne.

Sandsynligvis har lang de fleste ‘nix-systemer ingen Sudo-begrænsninger for brugerne.

Sikkerhedsfejlen findes i alle versioner af Sudo bortset fra den seneste version kaldet 1.8.28, som blev lanceret 14. oktober.

Den nye version vil blive rullet ud med forskellige opdateringer af Linux-distributionerne, men Sudo-pakken kan altså også opdateres med det samme manuelt.

Sådan optræder fejlen
Tecworld redegør i detaljer for, hvordan en bruger kan omgå begrænsningerne i ‘/etc/sudoers/’-filen:

“Alt, hvad en bruger skal gøre, er at køre en kommando med Sudo, men i stedet for sit sædvanlige bruger-id indtaste bruger-id’et som enten ‘-1’ eller ‘4294967295’.”

“Det vil altså sige ‘sudo -u # -1 -u’ eller ‘sudo -u # 4294967295 -u’.”

“Den funktion, der konverterer bruger-id til brugernavn fejltolker -1 eller 4294967295 som 0, hvilket altid er rootbruger-id. 4294967295 er det usignerede heltalækvivalent -1.”

“Tilmed er det sådan, at fordi root (alltså 0) ikke findes i adgangskode-databasen, så afvikles der ingen PAM-moduler (Pluggable Authentication Module). Det vill ellers have betydet yderligere kontroller. Sudo er designet sådan, at den bruger, som kører Sudo, kun skal angive sit eget password og ikke passwordet for den bruger, som man vil køre Sudo som”, skriver Techworld.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
IT Relation A/S
Outsourcing, hosting, decentral drift, servicedesk, konsulentydelser, salg og udleje af handelsvarer, udvikling af software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Nye muligheder for lynhurtig planning optimization i Dynamics 365 SCM

Hurtigere omstilling i virksomhedens supply chain er blevet et must og med de nye muligheder for lynhurtig planning optimization i Dynamics 365 SCM får du en fleksibel og skalerbar MRP-motor.

20. januar 2021 | Læs mere


Digital Vækst 2021

Vi ved, at fremtidens vindervirksomheder er digitale. På konferencen undersøger vi de tre vigtigste aspekter i den digitale transformation: Forretningsmodellerne, de menneskelige og organisatoriske faktorer samt valget af teknologier. I tre Digitale Dilemmaer giver vi en række digitale frontløbere fem minutter hver til at levere deres bedste guldkorn, og herefter åbner vi for spørgsmål fra salen – også digitalt. Diskussionen modereres af chefredaktør på Computerworld, Lars Jacobsen.

21. januar 2021 | Læs mere


Strategiske it-sikkerhedsdage 2021

God it-sikkerhed er blevet en strategisk disciplin der kombinerer ledelse, adfærd, processer og teknologi. Men hvor lægger du niveauet? Hvad er vigtigt for forretningen og den drift? Hvad er knapt så vigtigt? Hvordan indtænker du it-sikkerheds-indsatsen strategisk? Hvad gør du, når skaden er sket? Bliv klogere på ”Strategiske it-sikkerhedsdage 2021: Trusler, tendenser og værktøjer”.

26. januar 2021 | Læs mere






Premium
20 danske Microsoft-partnere med i opløbet om at blive kåret som Danmarks dygtigste
Tirsdag afholder Microsoft vanen tro sit store Partner Award-show. I år er gallamiddagen skiftet ud med et virtuelt arrangement, hvor Microsofts danske ledelse uddeler 12 priser og hovedprisen som årets bedste Microsoft-partner. Se alle de nominerede partnere her.
Computerworld
Nokia tog afsked med tusindvis af ansatte efter kæmpe nedtur: Sådan går det for dem i dag
Mere end 21.000 forlod Nokia under selskabets nedtur, som også ramte hårdt i Danmark. Nu har forskere undersøgt, hvordan det er gået for de tidligere Nokia-folk.
CIO
Podcast: Hos Viking Life-Saving Equipment er it gået fra at være backend til at være noget, som kunderne spørger aktivt efter
Podcast, The Digital Edge: Viking leverer en stadig større del af deres produkt som en tjeneste. Som en del af tjenesten tager Viking ansvar for sikkerheden ved at levere, dokumentere og vedligeholde det nødvendige sikkerhedsudstyr. Hør hvordan Henrik Balslev senior digital director hos Viking har løftet den opgave.
Job & Karriere
Microsoft i kæmpe dansk satsning - åbner tre store datacentre i Danmark
Microsoft lancerer kæmpe satsning fra hovedkvarteret i Lyngby. Selskabet åbner tre store bæredygtige datacentre på Sjælland.
White paper
Her skal du passe på: Rapport fra cyberkrigens frontlinje
I 2020 blev cyberangreb hyppigere og stadig mere alvorlige, og i CrowdStrike Services Cyber Front Lines Report 2020 har du læse, hvor udfordringerne er størst. Rapporten dokumenterer blandt andet, at 63 pct. af alle angreb var økonomisk motiverede – og at hovedparten af angriberne benytter ransomware. Samtidigt bliver de afkrævede beløb større og større, og de kriminelle truer nu ikke kun med at slette data. Stadig oftere sker det, at de cyberkriminelle aktivt analyserer data og undersøger, om der kan sættes trumf på truslen ved true med at lække eller sælge følsomme informationer.