Journal Vulnérabilité dans sudo

Posté par (page perso) . Licence CC by-sa
21
31
jan.
2012

Une vulnérabilité vient d'être trouvé dans l'utilitaire sudo. Elle est présente dans la fonction sudo_debug où un appelle à getprogname() est effectué. Or le nom de l’exécutable étant contrôlé par l'utilisateur, on peut induire un comportement non voulu.

Les versions concernées sont les versions 1.8.0 à 1.8.3p1. La version 1.8.3p2 corrige la faille.

Plus de détails ici : http://seclists.org/fulldisclosure/2012/Jan/att-590/advisory_sudo.txt

  • # Vulnérabilité

    Posté par . Évalué à 4.

    D'un autre côté, j'ai tendance à penser que sudo est une vulnérabilité en soi. Mais le remplacer par quoi ? Mystère.

    • [^] # Re: Vulnérabilité

      Posté par . Évalué à 1.

      Polkit ? Un pkexec bien configuré peut remplir le rôle de sudo.

      Par contre, faut aimer le xml.

      Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur

      • [^] # Re: Vulnérabilité

        Posté par . Évalué à 10.

        PolicyKit n'a jamais rien apporté par rapport à sudo, à part le XML, le NIH et la lourdeur. PolicyKit est à sudo ce que Java est à C.

        • [^] # Re: Vulnérabilité

          Posté par (page perso) . Évalué à 3.

          Euh, si, PK ça permet de définir des politiques fines, du genre : autorisé pour les gens connectés sur une console locale.

          • [^] # Re: Vulnérabilité

            Posté par (page perso) . Évalué à 1.

            Et aussi des actions plus ciblées (tu autorise les gens à redémarré l'ordinateur, pas à l'arrêter, tu autorises le démontage des disques externe mais pas ceux internes…)

            « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

        • [^] # Re: Vulnérabilité

          Posté par . Évalué à -1.

          Et alors ? Ce n'est pas parce qu'il n'a rien apporté qu'il est moins bien.

          Et puis quand on voit que même sudo a des vulnérabilités, on est bien content d'avoir des alternatives.

          Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur

          • [^] # Re: Vulnérabilité

            Posté par . Évalué à -1.

            J'aimerais bien qu'on m'explique pourquoi je me fais moinssé sans explication, alors que je n'ai rien écrit de particulièrement choquant.

            Je croyais que le logiciel libre permettait la saine concurrence mais apparemment pas dès qu'on se permet de proposer autre chose que le sacro-saint sudo.

            Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur

            • [^] # Re: Vulnérabilité

              Posté par . Évalué à 3.

              tu tes trompé de site, tu voulais surement poster sur bonnefoifr.org, pas sur trollfr

            • [^] # Re: Vulnérabilité

              Posté par (page perso) . Évalué à 3.

              Parce qu'il est interdit de dire du bien de Policy Kit qui ne peut exister que pour de mauvaises raisons.

              « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

              • [^] # Re: Vulnérabilité

                Posté par . Évalué à 3.

                Je crois que c'est généralisable à tout ce qui vient de GNOME ou de Lennart Poettering.

                Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur

            • [^] # Re: Vulnérabilité

              Posté par (page perso) . Évalué à 4.

              Parce que c’est très fort dire une énormité comme celle là :

              Et puis quand on voit que même sudo a des vulnérabilités, on est bien content d'avoir des alternatives.

              Surtout que Polkit doit (entre autres choses) :

              • être configuré en XML incompréhensible ;
              • parser ce XML (ce qui est une activité ô combien sécurisée).
              • [^] # Re: Vulnérabilité

                Posté par (page perso) . Évalué à -2.

                être configuré en XML incompréhensible ;

                Parle pour toi, je trouve ça relativement clair.

                parser ce XML (ce qui est une activité ô combien sécurisée).

                Parce que parser un fichier qui est tellement simple qu'il commence par :

                ## This file MUST be edited with the 'visudo' command as root.

                parait tellement plus sécurisé.

                « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

                • [^] # Re: Vulnérabilité

                  Posté par . Évalué à 2.

                  Je pense que tu n'as pas complètement compris le pourquoi de l'existence de visudo ...

                  visudo locks the sudoers file against multiple simultaneous edits, provides basic sanity checks, and checks for parse errors

                  • [^] # Re: Vulnérabilité

                    Posté par (page perso) . Évalué à -1.

                    Si, mais je ne vois pas en quoi c'est plus simple que du xml.

                    « Rappelez-vous toujours que si la Gestapo avait les moyens de vous faire parler, les politiciens ont, eux, les moyens de vous faire taire. » Coluche

              • [^] # Re: Vulnérabilité

                Posté par . Évalué à 1.

                être configuré en XML incompréhensible ;

                man polkit

                parser ce XML (ce qui est une activité ô combien sécurisée).

                Apparemment pas moins que ce que fait sudo.

                Encore une fois, je ne critique pas sudo. J'aimerais juste qu'on m'explique en quoi il est forcément mieux, mais avec d'autre arguments que « leXMLçapue » et « sudoçaimieu ».

                Article Quarante-Deux : Toute personne dépassant un kilomètre de haut doit quitter le Tribunal. -- Le Roi de Cœur

    • [^] # Re: Vulnérabilité

      Posté par . Évalué à 2.

      Groupes et ACL et un système de sécurité type SELinux?

    • [^] # Re: Vulnérabilité

      Posté par . Évalué à 3.

      Mais le remplacer par quoi ? Mystère.

      Des ACL bien léchées et un poil de sécurité noyeau.
      Mais déjà avec des ACL on fait 95% du boulot. Le plus chiant c'est de transformer les install de base qui executent les daemon avec les droits root par défaut (alors qu'il y en a rarement vraiment besoin)

    • [^] # Re: Vulnérabilité

      Posté par (page perso) . Évalué à 2.

      D'un autre côté, j'ai tendance à penser que sudo est une vulnérabilité en soi. Mais le remplacer par quoi ?

      Calife

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.