绿盟安全月刊->第54期->最新漏洞 Sudo环境变量错误任意命令执行漏洞

日期：2004-12-06

发布日期：2004-11-13
更新日期：2004-11-15

受影响系统：
Todd Miller Sudo 1.6.8p1
不受影响系统：
Todd Miller Sudo 1.6.8p2
描述：
--------------------------------------------------------------------------------
Sudo是一款允许用户以其他用户权限安全的执行命令的程序，广泛使用在Linux和Unix操作系统下。

Sudo处理环境变量不当，本地攻击者可以利用这个漏洞执行任意SHELL命令。

Liam Helmer报告软件没有正确验证环境变量，如果BASH SHELL安装在目标系统上，并且本地用户有权限执行BASH脚本，那么本地用户可以利用sudo一个功能从BASH脚本中执行任意SHELL命令。

<*来源：je （je@sekure.net）
  
  链接：http://marc.theaimsgroup.com/?l=bugtraq&m=110028877431192&w=2
*>

建议：
--------------------------------------------------------------------------------
厂商补丁：

Todd Miller
-----------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载1.6.8p2版本：

http://www.sudo.ws/sudo/