Re: Attenzione bug in sudo
On 16/10/19 18:43, Portobello wrote:
Dicono che c'è un bug in sudo.
se vuoi vedere quali bug di sicurezza sono presenti su un pacchetto puoi
guardare su security-tracker, per sudo l'indirizzo è il seguente:
https://security-tracker.debian.org/tracker/source-package/sudo
se vuoi vedere quali pacchetti che hai installato hanno bug di sicurezza
e che livello sono, allora installa
# apt get install debsecan
tieni conto che:
1) debsecan è ritenuto non affidabile al 100% poiché non mantenuto
aggiornato (almeno così avevo letto qualche tempo fa), quindi potrebbe
segnalare dei falsi positivi o non segnalare dei veri negativi.
2) i bug di sicurezza spesso sono segnalati da terzi: persone che non
hanno nulla a che fare con lo sviluppo di quel software. Alle volte c'è
discordanza tra quello che questi "terzi" reputano un bug di sicurezza
rispetto alla visione di chi mantiene quel software, quindi potrebbe
esserci un bug segnalato che viene rifiutato dai manutentori. Ad esempio
un po' di tempo fa era stato segnalato un bug di sicurezza su un
pacchetto perché permetteva di sapere quale utente avesse eseguito una
determinata operazione (forse anche con che parametri), però i
manutentori hanno detto che questa cosa era fuori scopo dal loro
programma perché questa era una cosa che doveva essere gestita ad un
livello più alto e quindi non avrebbero fatto nulla in proposito.
3) un bug di sicurezza ha effetto sul tuo sistema solo dietro precise
situazioni: devi avere il pacchetto installato, magari devi aver
determinate configurazioni, magari devi usarlo in determinato modo, ...
inoltre devi vedere quali sono i bug che possono essere sfruttati
localmente o da remoto, ...
Tutte queste condizioni possono far risultare che quel determinato bug
non ha nessun impatto sul tuo sistema o potrebbe essere critico.
4) installare apt-listbugs e debsecan permette di sapere quali bug sono
stati trovati sui pacchetti che stai installando/aggiornando e quindi
avvisarti di un possibile pericolo... avvisandoti anche se un pacchetto
ha un supporto di sicurezza momentaneamente limitato o momentaneamente
non attivo.
Cioè, se si usa l'utente -1 si possono acquisire i diritti di root.
Io ho provato sia con sudo che con su, ma mi dà sempre :
sudo -1
sudo: opzione non valida -- "1"
se la versione di Debian è ancora affetta, allora andando sul dettaglio
del CVE-2019-14287 trovi questo link che ti spiega come sfruttare il bug
https://www.sudo.ws/alerts/minus_1_uid.html
Ciao
Davide
--
Dizionari: http://linguistico.sourceforge.net/wiki
Client di posta: https://www.thunderbird.net
GNU/Linux User: 302090: http://counter.li.org
Non autorizzo la memorizzazione del mio indirizzo su outlook
Reply to: