Bulletin d'alerte Debian
DSA-3440-1 sudo -- Mise à jour de sécurité
- Date du rapport :
- 11 janvier 2016
- Paquets concernés :
- sudo
- Vulnérabilité :
- Oui
- Références dans la base de données de sécurité :
- Dans le système de suivi des bogues Debian : Bogue 804149.
Dans le dictionnaire CVE du Mitre : CVE-2015-5602. - Plus de précisions :
-
Quand sudo est configuré pour permettre à un utilisateur d'éditer des fichiers dans un répertoire où il peut déjà écrire sans utiliser sudo, il peut en réalité éditer (lire et écrire) des fichiers arbitraires. Daniel Svartman a signalé qu'une configuration telle que celle-ci pourrait être introduite involontairement si les fichiers à éditer sont indiqués avec l'utilisation de caractères de remplacement, par exemple :
operator ALL=(root) sudoedit /home/*/*/test.txt
Le comportement par défaut de sudo a été modifié de telle manière qu'il ne permet pas d'éditer un fichier dans un répertoire où l'utilisateur peut écrire, ou qui est atteint en suivant un lien symbolique dans un répertoire où l'utilisateur peut écrire. Ces restrictions peuvent être désactivées, mais cela est fortement déconseillé.
Pour la distribution oldstable (Wheezy), ce problème a été corrigé dans la version 1.8.5p2-1+nmu3+deb7u1.
Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.8.10p3-1+deb8u3.
Pour la distribution testing (Stretch), ce problème a été corrigé dans la version 1.8.15-1.1.
Pour la distribution unstable (Sid), ce problème a été corrigé dans la version 1.8.15-1.1.
Nous vous recommandons de mettre à jour vos paquets sudo.