Kritische Sicherheitslücken in Sudo ermöglichen es lokalen Benutzern, Root-Zugriff auf Linux zu erlangen, was viele große Distributionen betrifft.

Zwei kürzlich entdeckte Schwachstellen im Befehl Sudo die Sicherheit vieler in Frage stellen Linux-Distributionen Schwerwiegend. Leicht ausnutzbar durch lokale Benutzer Diese Sicherheitslücken ohne Administratorrechte ermöglichen nahezu sofortigen Root-Zugriff und öffnen somit die Tür für schwerwiegende Kompromittierungen der betroffenen Systeme. Diese Sicherheitslücken unterstreichen die entscheidende Bedeutung von … aktualisieren schnell und von a Schutz Optimiert für alle Linux-Umgebungen, egal ob Server oder Workstations.

Da Linux weit verbreitet ist – von Unternehmensservern bis hin zu eingebetteten Systemen – spielt der sudo-Befehl eine grundlegende Rolle. Er ermöglicht eingeschränkten Benutzern die Ausführung bestimmter Befehle mit Root-Rechten und rechtfertigt damit das Prinzip der minimalen Rechtevergabe. Wird die Sicherheit dieses Tools jedoch beeinträchtigt, wird das Risiko kritisch. Zwei Schwachstellen sind in den Referenzen aufgeführt. CVE-2025-32462 Und CVE-2025-32463Dadurch werden Schwachstellen bei der Eskalation lokaler Berechtigungen offengelegt.

Diese Sicherheitslücken sind umso alarmierender, als sie eine sehr weit verbreitete Version von Sudo betreffen, nämlich 1.8.8 bis 1.9.17. Das bedeutet, dass die meisten Distributionen, von Ubuntu bis Red Hat, einschließlich Debian, SUSE und Amazon Linux, die seit der Veröffentlichung von Version 1.9.17p1 verfügbaren Patches unbedingt installieren müssen. Im Folgenden werden wir detailliert untersuchen, wie diese Sicherheitslücken funktionieren, welche Folgen sie haben und wie man sich am besten davor schützt.

Technische Analyse kritischer Sicherheitslücken in Sudo, die den Root-Zugriff beeinträchtigen

Der erste Mangel wurde offenbart, CVE-2025-32462basiert auf einem Fehler im Management der Option -H Die 2013 eingeführte Option `sudo hostname` ermöglicht die Angabe des Hostnamens, unter dem sudo-Berechtigungen erteilt werden. In der Praxis erlaubt sie bestimmten Benutzern, Befehle nur auf bestimmten Rechnern auszuführen. Ein seit über 12 Jahren unentdeckter Fehler ermöglicht es nun jedoch einem lokalen Benutzer, Befehle auf seinem lokalen Rechner auszuführen, die nur auf entfernten Rechnern autorisiert sind, die in der Datei `sudoers` aufgeführt sind.

Diese Schwachstelle ist besonders kritisch in Umgebungen, in denen eine gemeinsam genutzte sudoers-Datei auf mehrere Rechner verteilt ist – eine gängige Praxis in großen Infrastrukturen, die LDAP oder SSSD zur zentralen Verwaltung von sudo-Berechtigungen verwenden. Ein Angreifer kann diese Schwachstelle ausnutzen, um Beschränkungen zu umgehen und administrative Aktionen auf seinem eigenen Rechner ohne die erforderlichen Berechtigungen durchzuführen, indem er sich als ein anderer Rechner ausgibt.

• Herkunft : Fehlerhafte Behandlung der Option -h (Host) in sudoers
• Dauer : existiert seit September 2013
• Auswirkungen : Ausführen autorisierter Befehle für einen Remote-Host auf dem lokalen Rechner
• Betroffene Umgebungen: verteilte sudoer-Dateisysteme, LDAP, SSSD
• CVSS-Score: 2,8 (niedrig bis mittel, aber in einem bestimmten Kontext eine relevante Leistung)

Parallel dazu der zweite Fehler, CVE-2025-32463Die Sicherheitslücke hat mit einem CVSS-Wert von 9,3 eine deutlich höhere Schwere. Sie nutzt die chroot-Funktion von Sudo aus, die es ermöglicht, einen Befehl in einem veränderten Stammverzeichnis auszuführen (--chroot oder Option -R), ist in bestimmten Isolationsszenarien nützlich. Dieser Sicherheitsmechanismus ist jedoch der Kern des Problems.

Diese Sicherheitslücke ermöglicht es einem lokalen Benutzer ohne Administratorrechte, eine gefälschte Datei zu erstellen. /etc/nsswitch.conf In einem Verzeichnis unter seiner Kontrolle, das per chroot zum neuen Stammverzeichnis werden soll, liest sudo diese Datei schließlich und kann eine schädliche Shared Library laden oder beliebige Befehle mit Root-Rechten ausführen. Dieser Angriff erfordert keinen Eintrag in der sudoers-Datei und stellt somit eine universelle Bedrohung für alle anfälligen Installationen mit aktiviertem chroot dar.

• Herkunft : Konfigurationsdateien werden mit sudo unter dem Benutzer chroot geladen.
• Auswirkungen : Direkte und vollständige Eskalation der Root-Rechte für jeden lokalen Benutzer
• Bedarf an Schweißfressern: Keine Regeln erforderlich
• Geltungsbereiche: Systeme, die sudo mit der Option chroot verwenden
• Ausblick: Das Sudo-Projekt erwägt die vollständige Entfernung der zukünftigen chroot-Option.

Die Kombination dieser beiden Schwachstellen gibt Anlass zu großen Bedenken hinsichtlich der Robustheit des Rechtemanagements in Linux-Systemen, insbesondere im Kontext der zunehmenden Verbreitung von Cloud- und virtualisierten Lösungen, bei denen sudo-Konfigurationen komplexer und zentralisierter sind.

Auswirkungen auf wichtige Linux-Distributionen und Konsequenzen für die Systemsicherheit

Die Erkenntnisse über Sudo haben eine weitreichende Bedeutung, da der Befehl standardmäßig auf fast allen Computern installiert ist. Linux-DistributionenVon Consumer-Systemen wie Ubuntu, Fedora und Debian bis hin zu unternehmensorientierten Distributionen wie Red Hat Enterprise Linux und SUSE Linux Enterprise sowie Cloud-Varianten wie Amazon Linux und Alpine sind alle potenziell betroffen, wenn sie nicht über das entsprechende Update verfügen.

Die weite Verbreitung von sudo in Linux-Systemen führt dazu, dass das bloße Auftreten von Sicherheitslücken eine schnelle Reaktion erfordert. Systemteams müssen systematisch die installierte sudo-Version überprüfen, feststellen, ob das System zentralisierte sudoer-Dateien oder die chroot-Funktion verwendet, und Patches umgehend einspielen.

Die wichtigsten Anbieter haben bereits Sicherheitswarnungen veröffentlicht und Aktualisierungen in ihren offiziellen Repositories bereitgestellt:

• AlmaLinux 8 und 9
• Alpine Linux
• Amazon Linux
• Debian
• Gentoo
• Oracle Linux
• Roter Hut
• SUSE Linux Enterprise
• Ubuntu

Diese Korrekturen gelten für Version 1.9.17p1 von Sudo und enthalten Patches speziell für die beiden kritischen Sicherheitslücken. Werden diese nicht aktualisiert, bleiben Systeme diesen Sicherheitslücken ausgesetzt. Heldentaten einfach durch böswillige lokale Benutzer, manchmal sogar ohne entsprechende Berechtigungen.

Für administrative Teams bedeutet dies die Verpflichtung, sudo-Konfigurationen regelmäßig mithilfe von Befehlen wie den folgenden zu überprüfen: sudo -l die Rechte aufzulisten und den Ansatz in ein umfassendes Sicherheitsmanagement- (Härtungs-) und Schwachstellenüberwachungsprogramm zu integrieren. Zum Beispiel die Beherrschung von sudo-Befehle Essentiell ist eine unverzichtbare Fähigkeit.

Diese Warnung unterstreicht zudem, wie wichtig es ist, sich über Neuigkeiten rund um den Linux-Kernel und die Distributionen auf dem Laufenden zu halten, insbesondere angesichts der regelmäßigen Veröffentlichung neuer Versionen mit wichtigen Aktualisierungen, wie beispielsweise Ubuntu 25.10, das Linux 6.17 enthält, optimiert für Sicherheit und Stabilität und hier verfügbar: Ubuntu 25.10 und Linux-Kernel 6.17.

Wesentliche Verfahren zur Behebung von Sudo-Schwachstellen und zur Gewährleistung des Schutzes

Das Einspielen von Sicherheitsupdates ist weiterhin der wichtigste erste Schritt. Alle Linux-Administratoren müssen sicherstellen, dass ihre sudo-Version mindestens 1.9.17p1 ist, da diese den Ende April veröffentlichten Patch enthält. Dieser Patch behebt insbesondere die fehlerhafte Behandlung der Host-Option und deaktiviert die als problematisch angesehene chroot-Funktionalität.

Hier ist ein typisches Vorgehen zur Durchführung des Updates auf den meisten Distributionen:

1. Ermitteln Sie die aktuelle Version von sudo:
   sudo --version
2. Systempakete aktualisieren:
   sudo apt update && sudo apt upgrade sudo (Debian/Ubuntu)
   Oder
   sudo dnf update sudo (Fedora/Red Hat)
3. Prüfen Sie die neue Version:
   sudo --version muss Version 1.9.17p1 oder höher anzeigen.
4. Testen Sie die sudoers-Funktionalitäten und vermeiden Sie die Verwendung der chroot-Option.
5. Starten Sie gegebenenfalls die zugehörigen Dienste neu.

Bei Systemen, die sudoers-Dateien über LDAP oder SSSD verteilen, verhindert der Patch effektiv die Ausführung von Befehlen, die ursprünglich für einen anderen Host bestimmt waren. Dies sollte überprüft werden, da dieses Szenario eine typische Ausnutzung der ersten Schwachstelle darstellt.

Neben der Aktualisierung gibt es einige bewährte Vorgehensweisen, um Risiken auch im Falle eines Angriffs zu minimieren:

• Beschränken Sie die Benutzer in der sudo-Gruppe streng.
• Überwachen Sie sudo-Protokolle und -Aktivitäten in Echtzeit.
• Vermeiden Sie komplexe sudoer-Konfigurationen, die auf der chroot-Funktionalität basieren.
• Priorisieren Sie regelmäßige Updates aller Systempakete.
• Schulen Sie die Benutzer in Passwortsicherheit und digitaler Hygiene (siehe Methode von Zurücksetzen des Linux-Passworts)

Wachsamkeit bleibt unerlässlich, da selbst ein aktuelles System durch fehlerhafte sudoers-Konfiguration oder schlecht verwaltete Berechtigungen auf Linux-Rechnern gefährdet werden kann.

Praktische Beispiele für die Ausnutzung von Schwachstellen in Sudo und daraus gewonnene Erkenntnisse

Wie einfach Schwachstellen in Sudo ausgenutzt werden können, wurde von mehreren Forschern, darunter Rich Mirch von Stratascale, demonstriert. In einem typischen Szenario kann ein lokaler Benutzer ohne Root-Rechte mit nur wenigen Befehlen nahezu uneingeschränkten Root-Zugriff erlangen:

• In CVE-2025-32462 testete ein Benutzer die Hypothese, dass sudo-Benutzer über mehrere Hosts verteilt sind. Durch den Aufruf von sudo mit der Option „host“ und die Ausnutzung des Fehlers konnte er Befehle, die eigentlich auf einen einzelnen Remote-Host beschränkt sein sollten, auf dem lokalen Rechner ausführen.
• Bei CVE-2025-32463 erstellt ein Benutzer ein gefälschtes Stammverzeichnis, das eine Datei enthält /etc/nsswitch.conf modifiziert. Dann ruft er sudo mit der Option chroot auf, um diese Datei zu laden und die gemeinsam genutzte Bibliothek zu übernehmen, wodurch er Root-Zugriff erlangt.

Diese Beispiele zeigen, dass ein ungepatchtes System selbst ohne in der sudoers-Datei deklarierte sudo-Berechtigungen angreifbar ist. Der Angriff ist für jeden möglich, der diese Details kennt, die seit April 2025 öffentlich zugänglich sind. Das Hauptrisiko betrifft Rechner, die physisch oder per Fernzugriff erreichbar sind, auf denen aber bereits ein lokaler Benutzer angemeldet ist.

Unternehmen und Organisationen, die Linux-Infrastrukturen betreiben, müssen diese Sicherheitslücke ernst nehmen. Eine vollständige Überprüfung der sudo-Konfiguration sowie die Verifizierung der eingesetzten Versionen sind weiterhin unerlässlich. Darüber hinaus verringern zusätzliche Maßnahmen, wie die Konfiguration von Intrusion-Detection-Systemen (IDS) und die Analyse von Protokollen, das Risiko einer Ausnutzung in Echtzeit.

Entwicklung der Sudo-Sicherheit und Empfehlungen für Linux-Benutzer

Angesichts der wiederkehrenden Sicherheitslücken in Sudo hat das Projektteam bereits angekündigt, die chroot-Funktion in einer zukünftigen Version zu entfernen. Ziel dieser Entscheidung ist es, den Quellcode zu vereinfachen und potenzielle Angriffsvektoren einzuschränken, indem eine als zu riskant und fehleranfällig eingestufte Option eliminiert wird.

Für Linux-Administratoren und -Enthusiasten unterstreicht diese Entwicklung die Bedeutung eines proaktiven und konsequenten Ansatzes beim Systemberechtigungsmanagement. Neben der reinen Fehlerbehebung erfordert Systemsicherheit Folgendes:

• Ein gründliches Verständnis der sudo-Mechanismen, seiner Konfigurationsdateien und Befehle (die Befehle Sudo und Su beherrschen)
• Regelmäßige Überwachung von Aktualisierungen Verteilungen und ihre Sicherheitspakete
• Die Anwendung bewährter Verfahren im Umgang mit dem sudoers-System, insbesondere die Vermeidung einer übermäßigen Rechtevergabe, ist empfehlenswert.
• Die Integration von Tools zur Überwachung und Prüfung von Benutzerrechten
• Steigerung des allgemeinen Benutzerbewusstseins für Linux-Sicherheit, einschließlich Passwort- und Zugriffsverwaltung

Für diejenigen, die ihre Systemkenntnisse vertiefen oder ihr lokales Netzwerk optimieren möchten, stehen praktische Ressourcen zur Verfügung, wie beispielsweise die Konfiguration der Bind9-DNS-Server im lokalen Netzwerk oder die Umsetzung von Bindung auf Ubuntu zur Verbesserung der Netzwerkstabilität.

Im Zuge der Open-Source-Bewegung verdeutlicht jede neu aufgedeckte Sicherheitslücke, wie dynamisch und reaktionsschnell die Linux-Community ist. Gleichzeitig erinnert sie uns daran, dass Sicherheit in erster Linie ständige Wachsamkeit und gute Gewohnheiten erfordert – ein wesentlicher Bestandteil jeder effektiven und verantwortungsvollen Administration.