Sudo yerel ayrıcalık yükseltme açıkları için yama yayınlandı (CVE-2025-32462, CVE-2025-32463)

Genel Bakış

Yakın zamanda Sudo yardımcı programında iki yerel ayrıcalık yükseltme açığı açıklandı ve bunlar için yamalar sunuldu.
Bu açıklar, normal kullanıcıların root ayrıcalıkları elde etmesine olanak tanıyor.

• CVE-2025-32462

  • Sudo'nun host seçeneğinde bulunan, düşük önem derecesine sahip bir ayrıcalık yükseltme açığı.
  • 12 yıldan uzun süredir kodda bulunan bu hata, belirli (yaygın kullanılan) Sudo yapılandırmalarında yetkilerin host adına göre sınırlandığı durumlarda, ek bir exploit olmadan root ayrıcalıklarına yükseltmeye imkan tanıyor.
  • Sudo v1.9.0~1.9.17, v1.8.8~1.8.32 sürümlerini etkiliyor.

• CVE-2025-32463

  • Sudo'nun chroot seçeneğinde (-R) bulunan kritik bir açık.
  • Kullanıcının belirlediği root dizini altında keyfi paylaşılan kütüphaneler yüklemesi için Sudo kandırılabiliyor.
  • Saldırı, /etc/nsswitch.conf dosyası kullanılarak gerçekleştirilebiliyor (yalnızca bu dosyayı destekleyen sistemlerde).
  • Sudo v1.9.14~1.9.17 sürümlerini etkiliyor. Eski sürümler (v1.8.x) bu işlev bulunmadığı için etkilenmiyor.

Alınacak Önlemler

• Güncelleme: Sudo'nun en güncel güvenlik yamasının uygulanması önerilir (1.9.17p1 veya sonrası)
• Geçici önlem: /etc/sudoers ve /etc/sudoers.d içindeki tüm Sudo kurallarını inceleyin.
  • Sudo kuralları LDAP'ta saklanıyorsa, ldapsearch gibi araçlarla kuralları kontrol edin.
  • Her kuralda runchroot= seçeneği veya CHROOT= yönergesinin kullanılıp kullanılmadığını doğrulayın.
  • Host veya Host_Alias seçeneklerinin bulunup bulunmadığını kontrol edin.

Öneriler

• Sistem yöneticileri ve güvenlik ekipleri Sudo'yu derhal en güncel sürüme yükseltmelidir. (chroot seçeneği 1.9.17p1 sürümünden itibaren artık desteklenmiyor.)
• Sistem günlüklerini inceleyerek anormal Sudo kullanım geçmişi olup olmadığını kontrol edin.

[techiemann]

Sudo çalışan tüm sistemlerde bunu tamamen söküp, doasın alias ile sudo yerine çalışmasını sağlayacak şekilde ayarlıyorum; sanırım bu tarafın güvenlik açısından daha avantajlı olduğunu duymuştum.