java linux root权限管理_新的 Linux sudo 漏洞使本地用户获得 root 权限
近日被技术专家所发现的新 sudo 漏洞允许任何本地用户在不需要任何身份验证的情况下就可以在类 Unix 操作系统上获得 root 权限。
Sudo 实际上就是一个 Unix 程序,它使系统管理员可以为 sudoers 文件中列出的普通用户提供有限的 root 权限,与此同时保留其活动日志。Sudo 按照“最小权限原则”工作,基于该原则,Sudo 程序仅授予用户足够的权限来完成工作,而不会损害系统的整体安全性。
当在类似 Unix 的系统上执行命令时,普通用户可以使用 sudo(superuser do)命令来以超级用户身份执行命令(如果他们具有权限或知道超级用户的密码)—— root 是系统的超级用户,即一个特殊的系统管理帐户。
任何本地用户的 root 权限
Qualys 的安全研究人员发现并跟踪了被命名为 CVE-2021-3156 的 Sudo 权限升级漏洞。根据 Qualys 研究人员的发现,此漏洞产生的原因是基于任何本地用户(普通用户和系统用户,无论是否在 sudoers 文件中列出)都可以利用基于堆的缓冲区溢出而实现的,攻击者无需知道用户密码即可成功利用此漏洞。
Sudo 错误地在参数中转义了反斜杠字符,从而触发了缓冲溢出,最终导致任何本地用户都可以获得 root 权限。通常,在 shell 中(sudo -s 或 sudo -i)运行命令时,sudo 都会转义特殊的字符。但是,在使用 sudoedit -s 或 sudoedit -i 时实际上又没有进行转义,这使得缓冲区溢出成为了可能。
利用这些漏洞,Qualys 的研究人员能够在多个 Linux 发行版上获得完整的 root 权限,研究人员分别在 Debian 10(Sudo 1.8.27)、Ubuntu 20.04(Sudo 1.8.31)和 Fedora 33(Sudo 1.9.2)上重现了 CVE-2021-3156 漏洞。根据 Qualys 的说法,CVE-2021-3156 漏洞在其他 Sudo 所支持的操作系统和发行版中同样存在。
漏洞在对外公开前就已修复
该漏洞最早是在 2011 年 7 月由 Sudo 程序引入进系统之中,距今已接近 10 年时间。它会影响从 1.9.0 到 1.9.5p1 的所有稳定版本,以及从 1.8.2 到 1.8.31p2 的所有旧版本的默认配置。
Qualys 于 1 月 13 日就在 Sudo 程序的内部社群披露了此漏洞,而今天 Sudo 开发者正式推出 sudo 1.9.5p2 版本,并在该版本中修复了漏洞。为了防止该漏洞被滥用,因此直到现在 Qualys 才正式对外披露了他们的发现。
要测试你的系统是否受到该漏洞影响,首先必须以非 root 用户的身份登录系统并运行 “*sudoedit -s /“*命令。易受攻击的系统将引发以 “sudoedit:” 开头的错误,而已修补系统将显示以 “usage:”开头的错误。
使用 Sudo 将 root 权限委派给其他用户的系统管理员应尽快升级到 sudo 1.9.5p2 或更高版本。
想要了解更多详情, 可以查看 Qualys 发布的技术细节。
java linux root权限管理_新的 Linux sudo 漏洞使本地用户获得 root 权限相关推荐
- linux sudo漏洞 可导致用户以 root 权限运行命令
Linux 用户要注意了!几乎所有基于 UNIX 和 Linux 的操作系统上安装的核心命令,也是最重要.最强大也最常用的工具 Sudo中被曝存在一个漏洞. Sudo 的全称是"superu ...
- java linux 权限管理_权限管理java实现(源于Linux中的权限管理算法)
这个帖子由来已久吧,我也是到处搜到的,然后仔细学习,果然博大精深,然后加强点弄点自己的东西 我已声明 部分转载!! 向大家介绍一种很不错,也是Linux中的权限管理算法. 定义a^b为:a的b次方 假 ...
- 【Linux】权限管理 _目录权限 _umask _粘滞位[学习总结 _复习专用]
1.Linux权限的概念 Linux下有两种用户:root.普通用户. root:可以在Linux系统下做任何事情,不受权限的限制 普通用户:在Linux下做有限的事情 root用户的命令提示符是&q ...
- java 通用权限管理_通用权限管理设计篇(一)
一.引言 因为做过的一些系统的权限管理的功能虽然在逐步完善,但总有些不尽人意的地方,总想抽个时间来更好的思考一下权限系统的设计. 权限系统一直以来是我们应用系统不可缺少的一个部分,若每个应用系统都重新 ...
- linux服务器配置与管理_你需要知道什么才能成为系统管理员? | Linux 中国
通过获得这些起码的能力,开始你的系统管理员职业.-- Seth Kenlon 昔日的系统管理员整天都在调教用户和摆弄服务器,一天的时间都奔波在几百米长的电缆之间.随着云计算.容器和虚拟机的复杂性的增加 ...
- 写入访问权限冲突_全面介绍 Linux 权限
知道如何控制用户对文件的访问是一项基本的系统管理技能. -- Alex Juarez(作者) 了解 Linux 权限以及如何控制哪些用户可以访问文件是系统管理的一项基本技能. 本文将介绍标准 Linu ...
- linux服务器配置与管理_服务器维护实施步骤
为了有效地维护服务器,服务器管理员必须执行主动的硬件和软件检查.而服务器的维护清单必须包括除尘.日志查看.软件补丁程序测试等. 即使具有服务器的性能和冗余功能,增加的工作负载整合和可靠性期望也会对服务 ...
- android 9.0 权限管理_你真的了解Android权限机制吗?
码个蛋(codeegg)第 610 次推文 作者:FeelsChaotic 原文:https://www.jianshu.com/p/a17c8bed79d9 前言 Android将安全设计贯穿系统架 ...
- ssrs批量权限管理_管理SSRS安全性并使用PowerShell自动化脚本
ssrs批量权限管理 So much has changed with Reporting Services 2016 but in terms of security it's the same u ...
最新文章
- Table doesn't have a primary key
- python刷新页面_小伙利用Python制作浏览器,网友点评这小伙将来要进腾讯
- 从互联网跳到国企半年了,说说我的感受!
- Docker入门 一 安装Docker
- java shape用法_Java PShape.scale方法代码示例
- 实现值两者之间添加 , 、 | 等字符
- 使用spring ResponseEntity处理http响应
- 利用qt和ffmpeg软件来制作视频裁剪工具
- 【李宏毅2020 ML/DL】P2 Regressio - Case Study
- VersionEye开源持续更新工具
- day10作用域与闭包
- IPTV媒体分发技术之一——代理缓存(转)
- Linux系统(一)文件和目录理解
- 房屋租赁管理系统mysql(含论文)
- rar、zip优缺点
- 我不建议大家随便跳槽
- java计算机毕业设计Vue垃圾分类指南平台设计与实现源码+数据库+系统+lw文档
- 计算机应用基础2019年12月所有题,2019年12月网络教育统考《计算机应用基础》复习题(九)...
- 手机App开发的基础概念
- Coding哥,魅族让你用洪荒之力来夺宝了!
热门文章
- IBASE category 01 component hierarchy
- SAP ABAP实用技巧介绍系列之如何生成值为NULL的table row
- WebSocket客户端连接成功后,返回的socket里有用的字段
- SAP UI5关于navigation API的boolean参数
- java vo转map_Jython:在 Java 程序里运行 Python 代码 4.5
- json string 格式_自己动手实现一个简单的JSON解析器
- java中gc是怎么工作的_java中的GC(gabage collection)如何工作
- 人工智能实验评价指标_电子科大人工智能团队最新研究成果,5秒诊断癌症
- linux usb-skeleton,Linux USB驱动程序(2)----usb-skeleton.c分析
- oracle10g密钥,Oracle10G透明数据加密技术如何使用呢?