Bulletin d'alerte Debian
DLA-382-1 sudo -- Mise à jour de sécurité pour LTS
- Date du rapport :
- 11 janvier 2016
- Paquets concernés :
- sudo
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 804149.
Dans le dictionnaire CVE du Mitre : CVE-2015-5602. - Plus de précisions :
-
Quand sudo est configuré pour permettre à un utilisateur d'éditer des fichiers dans un répertoire où il peut déjà écrire sans utiliser sudo, il peut en réalité éditer (lire et écrire) des fichiers arbitraires. Daniel Svartman a signalé qu'une configuration telle que celle-ci pourrait être introduite involontairement si les fichiers à éditer sont indiqués avec l'utilisation de caractères de remplacement, par exemple :
operator ALL=(root) sudoedit /home/*/*/test.txt
Le comportement par défaut de sudo a été modifié de telle manière qu'il ne permet pas d'éditer un fichier dans un répertoire où l'utilisateur peut écrire, ou qui est atteint en suivant un lien symbolique dans un répertoire où l'utilisateur peut écrire. Ces restrictions peuvent être désactivées, mais cela est fortement déconseillé.
Pour la distribution oldoldstable (Squeeze), ces problèmes ont été corrigés dans la version 1.7.4p4-2.squeeze.6.
Pour la distribution oldstable (Wheezy) et la distribution stable (Jessie), ces problèmes seront corrigés prochainement.