sudo本地提权缝隙（CVE-2021-3156）
颁布功夫 2021-01-270x00 缝隙概述
CVE ID | CVE-2021-3156 | 时 间 | 2021-01-27 |
类 型 | 权限提升 | 等 级 | 高危 |
远程利用 | 否 | 影响领域 |
0x01 缝隙详情
Sudo是一个职能壮大的工具 ，其允许通常用户执行root权限号令 ，大无数基于Unix和Linux的操作系统都蕴含sudo。
2021年01月26日 ，sudo被披露存在一个基于堆的缓冲区溢露马脚（CVE-2021-3156 ，该缝隙被定名为“Baron Samedit”） ，可导致本地权限提升。
当在类Unix的操作系统上执行号令时 ，非root用户能够使用sudo号令来以root用户身份执行号令。由于sudo谬误地在参数中转义了反斜杠导致堆缓冲区溢出 ，从而允许任何本地用户（无论是否在sudoers文件中）获得root权限 ，无需进行身份验证 ，且攻击者不必要知路用户密码。
安全钻研人员于1月26日公开披露了此缝隙 ，并暗示该缝隙已经暗藏了近十年。
影响领域
Sudo 1.8.2 - 1.8.31p2
Sudo 1.9.0 - 1.9.5p1
测试系统是否易受此缝隙影响：
1. 以非root用户身份登录系统。
2. 运行号令“sudoedit -s /”
3. 若是出现以“ sudoedit：”开头的谬误响应 ，则系统受到此缝隙影响 ；若是出现以“ usage：”开头的谬误响应 ，则暗示该缝隙已被补丁建复。
0x02 措置建议
建议实时升级sudo至最新版本。
下载链接：
https://www.sudo.ws/dist/
一时措施（RedHat）
1.装置所需的systemtap软件包和依赖项：
systemtap yum-utils kernel-devel-“ $（uname -r）”
RHEL 7装置kernel debuginfo：debuginfo-install -y kernel-“ $（uname -r）”
RHEL 8装置sudo debuginfo：debuginfo-install sudo
2.创建以下systemtap剧本：（将文件定名为sudoedit-block.stap）
probe process("/usr/bin/sudo").function("main") {
command = cmdline_args(0,0,"");
if (strpos(command, "edit") >= 0) {
raise(9);
}
}
3.使用以下号令装置剧本：（使用root）
＃nohup stap -g sudoedit-block.stap＆
这将输出systemtap剧本的PID编号 ，该剧本将导致易受攻击的sudoedit二进造文件终场工作 ，sudo号令仍将照常工作。
把稳 ，上述更改会在沉启后失效 ，必须在每次沉启后沉新利用。
4.一旦装置了补丁法式 ，就能够通过终止systemtap过程来删除systemtap剧本。例如 ，通过使用以下号令 ，其中7590是systemtap过程的PID。
＃kill -s SIGTERM 7590
0x03 参考链接
https://blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit
https://access.redhat.com/security/cve/CVE-2021-3156
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-3156
https://www.bleepingcomputer.com/news/security/new-linux-sudo-flaw-lets-local-users-gain-root-privileges/
0x04 功夫线
2021-01-26 Qualys披露缝隙
2021-01-27 RedHat颁布安全布告
2021-01-27 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号