Emergency security update wegen eines extrem kritischen Bug in "sudo"

[gea]

Kam gerade über die OmnioOS Support Liste.
Emergency security update due a very critical bug in sudo

https://www.helpnetsecurity.com/2021/01/27/cve-2021-3156/

https://blog.qualys.com/vulnerabili...p-based-buffer-overflow-in-sudo-baron-samedit

https://illumos.topicbox.com/groups...ecurity-update-r36m-r34am-r30cm-baron-samedit

Ich rate dringend zu einem Update falls ein Fix verfügbar ist, ansonsten am besten OS updaten.
For OmniOS unter Support (151030-151036) ist ein Fix ab sofort verfügbar.

To install the update enter the following
# pkg update sudo omnios-userland entire



Um zu testen ob man betroffen ist
enter "sudoedit -s /"

Das Problem soll vorhanden sein, wenn die Anwort mit "sudoedit:" beginnt

 

[sch4kal]

Ist Solaris ebenfalls betroffen ?

 

[gea]

Ich vermute jedes sudo auf jedem Linux/ Unix

Bei Solaris 11.4 wird man allerdings einen Supportvertrag brauchen.
OmniOS bietet zwar auch kommerziellen Support, diesen Bugfix gibts aber da für alle Nutzer.

 

[Uhrzeit]

Sollte man da nicht eh pfexec nutzen?

Mich würde es jedenfalls wenigstens wundern, wenn de Raadt davon auch betroffen wäre.

 

[gea]

nur sudo bis 1.9.5p1 ist betroffen

Sudo

www.sudo.ws

 

[Uhrzeit]

NUR? Das ist bis kurz vor dem Gau.

 

[gea]

NUR? Das ist bis kurz vor dem Gau.

Ist ja nur jeder auf Linux/Unix basierter Rechner/NAS bis vorgestern (26. Jan 2021) - also eher nach dem Super-GAU kurz vor der Kernschmelze. Immerhin hat damit jeder nobody webservice account root-Rechte - wobei ich ja schon glaube dass den diversen Geheimdiensten das viel länger bekannt war.

Gut wenn man schnell updaten kann. Jetzt kennt das Problem ja jeder IT angehauchte Kleinkriminelle

 

[Uhrzeit]

Nein. Es ist nicht jeder unixbasierte Rechner betroffen. Meine pfSense aka FreeBSD 11-stable (11.3.xx) hat original kein sudo drauf. Und es wurde derartiges auch nicht aufgespielt.

Von daher ein entspantes Wayne...

 

[sch4kal]

Ist ja nur jeder auf Linux/Unix basierter Rechner/NAS bis vorgestern (26. Jan 2021) - also eher nach dem Super-GAU kurz vor der Kernschmelze. Immerhin hat damit jeder nobody webservice account root-Rechte - wobei ich ja schon glaube dass den diversen Geheimdiensten das viel länger bekannt war.

Gut wenn man schnell updaten kann. Jetzt kennt das Problem ja jeder IT angehauchte Kleinkriminelle

Da hilft dann RBAC/SELinux weiter.
...das haben aber bestimmt die meisten Admins nicht im Einsatz

 

[gea]

Ich habe auch einzelne Server die kein sudo per default installiert haben
- dennoch eine extrem gefährliche Lücke schwerwiegend wie der SSL Heartbleed-Bug