Sudo con il tasto G: vulnerabilità critiche minacciano l'accesso root su Linux

Due vulnerabilità recentemente scoperte nel comando Sudo mettono in discussione la sicurezza di molte delle principali distribuzioni Linux. Facilmente sfruttabili da utenti locali senza privilegi, queste falle forniscono un accesso di root pressoché istantaneo, aprendo la porta a gravi compromissioni dei sistemi interessati. Queste vulnerabilità evidenziano l’importanza cruciale di aggiornamenti rapidi e di una protezione robusta per tutti gli ambienti Linux, sia su server che su workstation. Con Linux ovunque, dai server aziendali ai sistemi embedded, il comando Sudo gioca un ruolo fondamentale. Consente a utenti limitati di eseguire determinati comandi con privilegi di root, giustificando il cosiddetto principio del privilegio minimo. Ma quando la sicurezza di questo strumento viene compromessa, il rischio diventa critico. Due vulnerabilità, elencate come CVE-2025-32462 e CVE-2025-32463, espongono falle nell’escalation dei privilegi locali. Queste vulnerabilità sono ancora più allarmanti perché interessano una versione di Sudo ampiamente utilizzata, dalla 1.8.8 alla 1.9.17, il che significa che la maggior parte delle distribuzioni, da Ubuntu a Red Hat, incluse Debian, SUSE e Amazon Linux, deve applicare le patch disponibili a partire dalla versione 1.9.17p1. Analizziamo in dettaglio il funzionamento di queste vulnerabilità, le loro conseguenze e le best practice per proteggersi. Analisi tecnica delle vulnerabilità critiche di Sudo che interessano l’accesso root La prima vulnerabilità evidenziata, CVE-2025-32462, si basa su un difetto nella gestione dell’opzione -h. (ospite) da Sudo. Questa opzione, introdotta nel 2013, consente di specificare sotto quale nome host sono consentiti i privilegi sudo. Concretamente, autorizza determinati utenti a eseguire comandi solo su macchine specifiche. Tuttavia, il bug, passato inosservato per più di 12 anni, ora consente a un utente locale di eseguire comandi sul proprio computer locale che sono autorizzati solo su macchine remote a cui si fa riferimento nel file sudoers. Questo difetto è particolarmente critico negli ambienti in cui un file sudoers comune è distribuito su più macchine, pratica comune nelle grandi infrastrutture che utilizzano LDAP o SSSD per la gestione centralizzata dei diritti sudo. Un utente malintenzionato può quindi sfruttare questa debolezza per aggirare le restrizioni ed eseguire azioni amministrative sulla propria macchina senza avere i diritti necessari, fingendo di essere un’altra macchina. Origine: cattiva gestione dell’opzione -h (host) nei sudoer Durata: esiste da settembre 2013 Impatto: l’esecuzione dei comandi è consentita per un host remoto sul computer locale

Ambienti interessati: file system sudoers distribuiti, LDAP, SSSD Punteggio CVSS: 2.8 (impresa da bassa a moderata, ma rilevante in un contesto particolare)Allo stesso tempo, il secondo difetto,

CVE-2025-32463

, ha una gravità molto più elevata con un punteggio CVSS di 9,3. Utilizza la funzione chroot di Sudo, che consente di eseguire un comando con una directory root modificata (

–chroot o opzione-R ), utile in alcuni scenari di isolamento. Tuttavia, questo meccanismo di sicurezza è al centro del problema. In questa vulnerabilità, un utente locale non privilegiato può creare un file falso

/etc/nsswitch.conf

in una directory sotto il suo controllo, destinata a diventare la nuova root tramite chroot. Sudo alla fine leggerà questo file in questo contesto e sarà in grado di caricare una libreria condivisa dannosa o eseguire comandi arbitrari con privilegi di root. Questo attacco non richiede alcuna voce nel file sudoers, il che lo rende una minaccia universale su tutte le installazioni vulnerabili con la funzionalità chroot abilitata. Origine:
Caricamento tramite sudo dei file di configurazione nel chroot dell’utente Impatto:
Escalazione diretta e completa dei privilegi di root per qualsiasi utente locale Requisiti per sudoers:
Nessuna regola richiesta Ambiti:
Sistemi che utilizzano sudo con l’opzione chroot Prospettive:

Il progetto Sudo sta valutando la completa rimozione dell’opzione chroot in futuro La combinazione di queste due vulnerabilità solleva importanti preoccupazioni sulla robustezza della gestione dei permessi nei sistemi Linux, soprattutto nel contesto della crescente adozione di soluzioni cloud e virtualizzate, dove le configurazioni sudo sono più complesse e centralizzate.Scopri le vulnerabilità relative a sudo e accesso root. Scopri come queste vulnerabilità possono compromettere la sicurezza del tuo sistema e quali misure adottare per mitigarle efficacemente.Impatto sulle principali distribuzioni Linux e implicazioni per la sicurezza del sistema I risultati relativi a Sudo sono ampi, poiché il comando è installato di default su praticamente tutte le distribuzioni Linux. Dai sistemi consumer come Ubuntu, Fedora e Debian, alle distribuzioni enterprise come Red Hat Enterprise Linux, SUSE Linux Enterprise e persino varianti basate su cloud come Amazon Linux e Alpine, tutte sono potenzialmente interessate se non dispongono dell’aggiornamento appropriato. Questa onnipresenza di Sudo nel panorama Linux implica che la semplice presenza di vulnerabilità richieda una risposta rapida. I team di sistema devono controllare sistematicamente la versione installata di Sudo, identificare se la macchina utilizza file sudoer centralizzati o la funzione chroot e applicare rapidamente le patch.I principali fornitori hanno già pubblicato avvisi di sicurezza e distribuito aggiornamenti ai loro repository ufficiali:

AlmaLinux 8 e 9 Alpine Linux Amazon Linux

Debian Gentoo
Oracle Linux Red Hat
SUSE Linux Enterprise Ubuntu
Queste patch si estendono alla versione 1.9.17p1 di Sudo, che contiene patch specifiche per le due falle critiche. Il mancato aggiornamento renderà i sistemi vulnerabili a semplici exploit da parte di utenti malintenzionati locali, a volte anche senza privilegi. Per i team di amministrazione, ciò richiede un audit regolare delle configurazioni di sudo utilizzando comandi come sudo -l per elencare i permessi, integrando al contempo questo approccio in un programma completo di gestione della sicurezza (hardening) e monitoraggio delle vulnerabilità. Ad esempio, padroneggiare i comandi Sudo essenziali è un’abilità essenziale. Inoltre, questo avviso ribadisce l’importanza di seguire le novità relative al kernel e alle distribuzioni Linux, in particolare con il rilascio regolare di nuove versioni che incorporano aggiornamenti critici, come Ubuntu 25.10, che include Linux 6.17, ottimizzato per sicurezza e stabilità. Accessibile qui: Ubuntu 25.10 e kernel Linux 6.17.
Procedure essenziali per correggere le vulnerabilità di Sudo e garantire la protezione L’applicazione degli aggiornamenti di sicurezza rimane il primo passo essenziale. Tutti gli amministratori Linux dovrebbero assicurarsi che la versione di Sudo utilizzata sia almeno la 1.9.17p1, che contiene la patch rilasciata a fine aprile. Questa patch corregge in particolare la gestione errata dell’opzione host e disabilita la funzionalità chroot, ritenuta problematica. Ecco un approccio tipico per l’aggiornamento sulla maggior parte delle distribuzioni:

Identificare la versione corrente di sudo:

Aggiornare i pacchetti di sistema:

sudo apt update && sudo apt upgrade sudo (Debian/Ubuntu)oppure

sudo dnf update sudo

(Fedora/Red Hat)

Verificare la presenza di una nuova versione:
sudo –version
dovrebbe visualizzare v1.9.17p1 o superiore
Verificare la funzionalità di sudoers ed evitare di utilizzare l’opzione chroot
Riavviare i servizi associati, se necessario
Per le organizzazioni che utilizzano file sudoers distribuiti tramite LDAP o SSSD, la patch elimina di fatto la possibilità di eseguire comandi originariamente destinati a un altro host. È necessario verificarlo, poiché questo scenario rappresenta un classico caso di exploit per la prima vulnerabilità. Oltre all’aggiornamento, ecco alcune best practice per limitare i rischi, anche in caso di attacco:
Limitare rigorosamente gli utenti nel gruppo sudo
Monitorare i log e le attività di sudo in tempo reale
Evitare configurazioni complesse di sudoer basate sulla funzionalità chroot

Dai priorità agli aggiornamenti regolari di tutti i pacchetti di sistema Formare gli utenti sulla sicurezza delle password e sull’igiene digitale (vedere il metodo di reimpostazione della password Linux) La vigilanza rimane essenziale, poiché anche un sistema aggiornato può essere compromesso da una configurazione sudoer non corretta o da permessi gestiti in modo inadeguato sulle macchine Linux.

Scopri le vulnerabilità relative a sudo e il loro impatto sull’accesso root. Scopri i rischi per la sicurezza e le best practice per proteggere il tuo sistema da potenziali exploit. Casi pratici di vulnerabilità di Sudo e feedback La semplicità di sfruttare le vulnerabilità in Sudo è stata dimostrata da diversi ricercatori, tra cui Rich Mirch di Stratascale. In un contesto tipico, un utente locale senza privilegi può ottenere un accesso root quasi completo con pochi comandi: Nel caso CVE-2025-32462, un utente supera il presupposto che gli utenti sudo siano distribuiti su più host. Chiamando sudo con l’opzione host e sfruttando il bug, può eseguire comandi che dovrebbero essere limitati a un host remoto sulla macchina locale. Nel caso CVE-2025-32463, un utente crea una cartella root fittizia contenente un file /etc/nsswitch.conf modificato. Quindi chiama sudo con l’opzione chroot per caricare questo file e dirottare la libreria condivisa, ottenendo così l’accesso root. Questi esempi dimostrano che, anche senza i permessi sudo dichiarati nel file sudoers, un sistema non patchato è vulnerabile. L’attacco è accessibile a chiunque conosca questi dettagli, che sono di dominio pubblico da aprile 2025. Il rischio principale riguarda le macchine fisicamente accessibili o connesse da remoto ma che hanno già effettuato l’accesso all’utente locale.

I marchi e le aziende che gestiscono infrastrutture Linux devono prendere sul serio questa vulnerabilità. Un audit completo della configurazione di sudo, nonché una verifica delle versioni distribuite, rimane imperativo. Inoltre, misure aggiuntive, come la configurazione di sistemi di rilevamento delle intrusioni (IDS) e l’analisi dei log, riducono il rischio di exploit in tempo reale. Evoluzione della sicurezza di Sudo e raccomandazioni per gli utenti LinuxA fronte del problema ricorrente delle vulnerabilità in Sudo, il progetto alla base di questo strumento ha già annunciato l’imminente rimozione della funzione chroot in una prossima versione. Questa decisione mira a semplificare il codice sorgente e a limitare i possibili vettori di attacco eliminando un’opzione considerata troppo rischiosa e soggetta a errori.

Per gli amministratori e gli appassionati Linux, questo sviluppo sottolinea l’importanza di un approccio proattivo e rigoroso alla gestione dei privilegi di sistema. Oltre a soluzioni una tantum, la sicurezza del sistema richiede:

Una conoscenza approfondita dei meccanismi di sudo, dei suoi file di configurazione e dei comandi (padroneggiare i comandi Sudo e Su)

Un monitoraggio regolare degli aggiornamenti della distribuzione e dei relativi pacchetti di sicurezza

L’adozione delle migliori pratiche per il sistema sudoers, in particolare evitando un’assegnazione eccessiva di privilegi
L'integrazione di strumenti di monitoraggio e auditing dei privilegi utente
Una maggiore consapevolezza generale degli utenti sulla sicurezza Linux, inclusa la gestione delle password e degli accessi
Per coloro che desiderano approfondire la conoscenza del sistema o ottimizzare la propria rete locale, sono disponibili risorse pratiche, come la configurazione del server DNS Bind9 su una rete locale o l’implementazione del bonding su Ubuntu per una maggiore robustezza della rete. Nel movimento del software open source, ogni pubblicazione sulle vulnerabilità evidenzia quanto sia vivace e reattiva la comunità Linux. Ma ci ricorda anche che la sicurezza è, soprattutto, una questione di attenzione costante e buoni riflessi, una componente essenziale di qualsiasi amministrazione efficace e responsabile.
Scopri come le vulnerabilità relative a sudo possono compromettere l’accesso root al tuo sistema. Apprendi le migliori pratiche per proteggere il tuo ambiente e i tuoi dati da potenziali minacce.