S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 08 mars 2001
N° CERTA-2001-AVI-028
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: vulnérabilité de sudo sous Linux Debian

Gestion du document

Référence CERTA-2001-AVI-028
Titre vulnérabilité de sudo sous Linux Debian
Date de la première version08 mars 2001
Date de la dernière version08 mars 2001
Source(s) Avis de sécurité Debian
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Accès root localement

Systèmes affectés

Linux Debian.

Résumé

Une vulnérabilité de l'utilitaire sudo permet à un utilisateur mal intentionné d'obtenir les privilèges root.

Description

sudo est un outil permettant à un utilisateur authentifié d'exécuter des commandes normalement permises qu'à l'utilisateur root.

Un dépassement de mémoire de sudo permet à un utilisateur mal intentionné d'exécuter n'importe quelle commande avec les permissions de root.

Contournement provisoire

Désactiver sudo jusqu'à ce que le correctif ait été appliqué.

Solution

Appliquer le correctif de Debian :

  • Pour Alpha:

    http://security.debian.org/debian-security/dists/stable/updates/main/binary-alpha/sudo_1.6.2p2-1potato1_alpha.deb

  • ARM :

    http://security.debian.org/debian-security/dists/stable/updates/main/binary-arm/sudo_1.6.2p2-1potato1_arm.deb

  • Intel ia32 :

    http://security.debian.org/debian-security/dists/stable/updates/main/binary-i386/sudo_1.6.2p2-1potato1_i386.deb

  • Motorola 680x0 :

    http://security.debian.org/debian-security/dists/stable/updates/main/binary-m68k/sudo_1.6.2p2-1potato1_m68k.deb

  • Sun Sparc :

    http://security.debian.org/debian-security/dists/stable/updates/main/binary-sparc/sudo_1.6.2p2-1potato1_sparc.deb

  • PowerPC :

    http://security.debian.org/debian-security/dists/stable/updates/mainbinary-powerpc/sudo_1.6.2p2-1potato1_powerpc.deb

  • Source :

    http://security.debian.org/debian-security/dists/stable/updates/main/source/sudo_1.6.2p2-1potato1.diff.gz

http://security.debian.org/debian-security/dists/stable/updates/main/source/sudo_1.6.2p2-1potato1.dsc

http://security.debian.org/debian-security/dists/stable/updates/main/source/sudo_1.6.2p2.orig.tar.gz

Documentation

Gestion détaillée du document

    le 08 mars 2001
    version initiale.