Vulnerabilidad en SUDO permitiría ejecutar comandos como root a usuarios que no deberían

Hace unos minutos, Canonical ha publicado el informe de seguridad USN-4154-1 sobre una vulnerabilidad en sudo. Identificada como CVE-2019-14287 y descubierta por Joe Vennix de Apple Information Security, es más preocupante porque la utilidad sudo ha sido diseñada para permitir a los usuarios usar su propia contraseña de inicio de sesión para ejecutar comandos como un usuario diferente sin requerir su contraseña.

Para concretar un poco más, las versiones soportadas a las que nos referimos son Ubuntu 19.04, Ubuntu 18.04 y Ubuntu 16.04 en su ciclo normal y Ubuntu 14.04 y Ubuntu 12.04 en su versión ESM (Extended Security Maintenance). Si accedemos a la página de la vulnerabilidad corregida, la que publica Canonical, vemos que ya hay parches disponibles para todas las versiones anteriormente mencionadas, pero que aún está afectado Ubuntu 19.10 Eoan Ermine como podemos leer en el texto en rojo "needed".

SUDO se actualiza a la versión 1.8.28 para corregir una vulnerabilidad

El fallo corregido es el CVE-2019-14287, lo que se describe como:

Cuando sudo está configurado para permitir que un usuario ejecute comandos como un usuario arbitrario a través de la palabra clave ALL en una especificación Runas, es posible ejecutar comandos como root especificando el ID de usuario -1 o 4294967295.

Canonical ha etiquetado el fallo como de prioridad media. Aún así, "sudo" y "root" nos hacen pensar en Lockdown, un modulo de seguridad que hará su aparición junto a Linux 5.4. Este módulo restringirá aún más los permisos, lo que es más seguro por una parte pero por otra impedirá que los dueños de un equipo seamos una especie de "Dios" con él. Por este motivo, ya hace tiempo que hay un debate al respecto y Lockdown estará desactivado por defecto, aunque el motivo principal de que esto sea así es que podría estropear los sistemas operativos existentes.

Lo interesante es que la explotación parece requerir únicamente el establecimiento de una ID de usuario de valor "-1" o "4294967295". Esto es debido a que la función implicada en la conversión del valor de la ID de usuario a su valor nominal, no trata correctamente el valor "-1" o su equivalente sin signar "4294967295". Dicha función estaría tratando esos valores de modo que quedaran igualados a 0, cuya conversión nominal resulta ser root, el usuario con permisos completos sobre el sistema.

La vulnerabilidad afecta a todas las versiones de la utilidad sudo anteriores a 1.8.28 y su parche de seguridad correspondiente fue liberado ayer 14 de octubre. Se recomienda actualizar el paquete a la última versión disponible para parchear el fallo.
Referencias

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14287
• https://usn.ubuntu.com/usn/usn-4154-1
• https://www.sudo.ws/alerts/minus_1_uid.html
• http://bugs.debian.org/cgi-bin/bugreport.cgi?bug=942322

Fuente: Ubunlog

Suscríbete a nuestro Boletín