Kritieke beveiligingslekken in Sudo stellen lokale gebruikers in staat om root-toegang te verkrijgen op Linux, wat veel belangrijke distributies treft.

Twee kwetsbaarheden zijn onlangs ontdekt in het commando. sudo de veiligheid van velen in twijfel trekken Linux-distributies groot. Gemakkelijk te exploiteren door lokale gebruikers Deze kwetsbaarheden zonder beheerdersrechten bieden vrijwel onmiddellijke root-toegang, waardoor de deur wordt geopend voor ernstige inbreuken op de getroffen systemen. Deze kwetsbaarheden benadrukken het cruciale belang van een update snel en van een bescherming Geoptimaliseerd voor alle Linux-omgevingen, zowel op servers als op werkstations.

Nu Linux alomtegenwoordig is, van bedrijfsservers tot embedded systemen, speelt het `sudo`-commando een fundamentele rol. Het stelt gebruikers met beperkte rechten in staat om bepaalde commando’s met rootrechten uit te voeren, wat het principe van minimale bevoegdheden rechtvaardigt. Maar wanneer de beveiliging van deze tool in het geding komt, wordt het risico kritiek. Twee kwetsbaarheden, die worden vermeld onder de referenties, CVE-2025-32462 En CVE-2025-32463waardoor kwetsbaarheden in de escalatie van lokale privileges aan het licht komen.

Deze kwetsbaarheden zijn des te alarmerender omdat ze een zeer wijdverspreide versie van Sudo treffen, van 1.8.8 tot en met 1.9.17. Dit betekent dat een grote meerderheid van de distributies, van Ubuntu tot Red Hat, inclusief Debian, SUSE en Amazon Linux, absoluut de patches moeten toepassen die beschikbaar zijn sinds de release van versie 1.9.17p1. Laten we eens nader bekijken hoe deze kwetsbaarheden werken, wat de gevolgen ervan zijn en wat de beste werkwijzen zijn om ze te bestrijden.

Technische analyse van kritieke kwetsbaarheden in Sudo die root-toegang beïnvloeden

Het eerste gebrek dat aan het licht kwam, CVE-2025-32462is gebaseerd op een tekortkoming in het beheer van de optie. -H De `sudo`-hostname-optie, geïntroduceerd in 2013, stelt je in staat om de hostnaam op te geven waaronder sudo-rechten worden verleend. In de praktijk zorgt dit ervoor dat bepaalde gebruikers alleen op specifieke machines commando’s kunnen uitvoeren. Een bug, die meer dan 12 jaar onopgemerkt is gebleven, maakt het echter nu mogelijk voor een lokale gebruiker om commando’s op zijn of haar lokale machine uit te voeren die alleen zijn toegestaan ​​op de externe machines die in het `sudoers`-bestand staan ​​vermeld.

Deze kwetsbaarheid is met name kritiek in omgevingen waar een gedeeld sudoers-bestand over meerdere machines is verspreid, een veelvoorkomende praktijk in grote infrastructuren die LDAP of SSSD gebruiken voor gecentraliseerd beheer van sudo-rechten. Een kwaadwillende gebruiker kan deze zwakte misbruiken om beperkingen te omzeilen en administratieve acties op zijn eigen machine uit te voeren zonder de benodigde rechten, door zich voor te doen als een andere machine.

• Herkomst: Onjuiste verwerking van de -h (host) optie in sudoers
• Duur : bestaat sinds september 2013.
• Invloed : Het uitvoeren van geautoriseerde opdrachten voor een externe host op de lokale machine.
• Betrokken omgevingen: gedistribueerde sudoer-bestandssystemen, LDAP, SSSD
• CVSS-score: 2.8 (laag tot gemiddeld, maar een relevante prestatie in een specifieke context)

Tegelijkertijd is er het tweede gebrek, CVE-2025-32463Deze aanval krijgt een veel hogere ernstgraad met een CVSS-score van 9,3. Hij maakt misbruik van de chroot-functie van Sudo, waardoor een commando kan worden uitgevoerd met een gewijzigde rootdirectory.--chroot of optie -R), nuttig in bepaalde isolatiesituaties. Dit veiligheidsmechanisme vormt echter de kern van het probleem.

Door deze kwetsbaarheid kan een lokale gebruiker zonder beheerdersrechten een nepbestand aanmaken. /etc/nsswitch.conf In een map onder controle, die via chroot de nieuwe rootmap moet worden, zal sudo dit bestand uiteindelijk lezen en een kwaadaardige gedeelde bibliotheek kunnen laden of willekeurige commando’s met rootrechten kunnen uitvoeren. Deze aanval vereist geen vermelding in het sudoers-bestand, waardoor het een universele bedreiging vormt voor alle kwetsbare installaties met chroot ingeschakeld.

• Herkomst: Configuratiebestanden laden via sudo onder gebruiker chroot
• Invloed : directe en volledige escalatie van root-rechten voor elke lokale gebruiker
• Behoefte aan zweetopwekkers: geen regels vereist
• Bereik: systemen die sudo gebruiken met de chroot-optie
• Vooruitzichten: Het Sudo-project overweegt de toekomstige chroot-optie volledig te verwijderen.

De combinatie van deze twee kwetsbaarheden geeft aanleiding tot grote bezorgdheid over de robuustheid van rechtenbeheer in Linux-systemen, met name in een context van toenemende adoptie van cloud- en virtualisatieoplossingen, waar sudo-configuraties complexer en meer gecentraliseerd zijn.

Impact op belangrijke Linux-distributies en implicaties voor systeembeveiliging

De ontdekkingen over Sudo hebben een breed toepassingsgebied omdat het commando standaard op bijna alle computers is geïnstalleerd. Linux-distributiesVan consumentensystemen zoals Ubuntu, Fedora en Debian tot bedrijfsgerichte distributies zoals Red Hat Enterprise Linux en SUSE Linux Enterprise, en zelfs cloudvarianten zoals Amazon Linux en Alpine: ze kunnen allemaal getroffen worden als ze niet over de juiste update beschikken.

De alomtegenwoordigheid van sudo in het Linux-landschap betekent dat de loutere aanwezigheid van kwetsbaarheden een snelle reactie vereist. Systeemteams moeten systematisch de geïnstalleerde sudo-versie controleren, vaststellen of de machine gebruikmaakt van gecentraliseerde sudoer-bestanden of de chroot-functie, en patches snel toepassen.

Grote leveranciers hebben al beveiligingsadviezen gepubliceerd en updates in hun officiële repositories uitgebracht:

• AlmaLinux 8 en 9
• Alpine Linux
• Amazon-Linux
• Debian
• Gentoo
• OracleLinux
• Rode Hoed
• SUSE Linux Enterprise
• Ubuntu

Deze oplossingen gelden ook voor versie 1.9.17p1 van Sudo en bevatten patches die specifiek gericht zijn op de twee kritieke beveiligingslekken. Als u niet update, blijven systemen kwetsbaar voor deze beveiligingslekken. exploits eenvoudigweg door kwaadwillende lokale gebruikers, soms zelfs zonder de juiste rechten.

Voor beheerdersteams betekent dit een verplichting om regelmatig sudo-configuraties te controleren met behulp van commando’s zoals sudo -l om de rechten op te sommen en tegelijkertijd de aanpak te integreren in een alomvattend programma voor beveiligingsbeheer (hardening) en kwetsbaarheidsmonitoring. Bijvoorbeeld door het beheersen van… sudo-opdrachten Essentieel is een onmisbare vaardigheid.

Bovendien onderstreept deze waarschuwing het belang van op de hoogte blijven van nieuws met betrekking tot de Linux-kernel en -distributies, vooral met de regelmatige release van nieuwe versies met cruciale updates, zoals Ubuntu 25.10 dat Linux 6.17 bevat, geoptimaliseerd voor beveiliging en stabiliteit, beschikbaar hier: Ubuntu 25.10 en Linux-kernel 6.17.

Essentiële procedures om Sudo-kwetsbaarheden te verhelpen en bescherming te garanderen.

Het toepassen van beveiligingsupdates blijft de essentiële eerste stap. Alle Linux-beheerders moeten controleren of hun sudo-versie minimaal 1.9.17p1 is, die de patch bevat die eind april is uitgebracht. Deze patch corrigeert met name de onjuiste afhandeling van de host-optie en schakelt de chroot-functionaliteit uit, die als problematisch werd beschouwd.

Hieronder volgt een typische procedure voor het uitvoeren van de update op de meeste distributies:

1. Identificeer de huidige versie van sudo:
   sudo --versie
2. Systeempakketten bijwerken:
   sudo apt update && sudo apt upgrade sudo (Debian/Ubuntu)
   Of
   sudo dnf update sudo (Fedora/Rode hoed)
3. Bekijk de nieuwe versie:
   sudo --versie moet versie 1.9.17p1 of hoger weergeven.
4. Test de sudoers-functionaliteit en vermijd het gebruik van de chroot-optie.
5. Start de bijbehorende services indien nodig opnieuw op.

Voor systemen die sudoers-bestanden gebruiken die via LDAP of SSSD worden gedistribueerd, elimineert de patch effectief de mogelijkheid om commando’s uit te voeren die oorspronkelijk voor een andere host bedoeld waren. Dit moet worden geverifieerd, aangezien dit scenario een klassiek voorbeeld is van het misbruiken van de eerste kwetsbaarheid.

Naast het bijwerken van uw systemen, zijn hier enkele goede praktijken om risico’s te beperken, zelfs in geval van een aanval:

• Beperk het aantal gebruikers in de sudo-groep strikt.
• Volg sudo-logs en -activiteiten in realtime.
• Vermijd complexe sudoer-configuraties op basis van chroot-functionaliteit.
• Geef prioriteit aan regelmatige updates van alle systeempakketten.
• Train gebruikers in wachtwoordbeveiliging en digitale hygiëne (zie methode van Linux-wachtwoord opnieuw instellen)

Waakzaamheid blijft cruciaal, want zelfs een actueel systeem kan in gevaar komen door een onjuiste sudoers-configuratie of slecht beheerde machtigingen op Linux-machines.

Praktische voorbeelden van het exploiteren van kwetsbaarheden in Sudo en de geleerde lessen.

Het gemak waarmee kwetsbaarheden in Sudo kunnen worden misbruikt, is door verschillende onderzoekers aangetoond, waaronder Rich Mirch van Stratascale. In een typisch scenario kan een lokale gebruiker zonder privileges met slechts een paar commando’s bijna volledige root-toegang verkrijgen:

• In CVE-2025-32462 testte een gebruiker de hypothese van een sudo-server die over meerdere hosts was verdeeld. Door sudo met de host-optie aan te roepen en de bug te misbruiken, konden ze commando’s uitvoeren die beperkt zouden moeten zijn tot één enkele externe host, maar dan op de lokale machine.
• Voor CVE-2025-32463 maakt een gebruiker een nep-hoofdmap aan die een bestand bevat /etc/nsswitch.conf aangepast. Vervolgens roept hij sudo aan met de chroot-optie om dit bestand te laden en de gedeelde bibliotheek te kapen, waardoor hij root-toegang verkrijgt.

Deze voorbeelden laten zien dat zelfs zonder sudo-rechten die in het sudoers-bestand zijn gedeclareerd, een ongepatcht systeem kwetsbaar is. De aanval is binnen handbereik van iedereen die deze details kent, die sinds april 2025 publiekelijk bekend zijn. Het grootste risico betreft machines die fysiek toegankelijk zijn of via een externe sessie toegankelijk zijn, maar waarop al een lokale gebruiker is ingelogd.

Bedrijven en organisaties die Linux-infrastructuren beheren, moeten deze kwetsbaarheid serieus nemen. Een volledige audit van de sudo-configuratie, evenals een verificatie van de geïmplementeerde versies, blijft essentieel. Bovendien verminderen aanvullende maatregelen, zoals het configureren van inbraakdetectiesystemen (IDS) en het analyseren van logbestanden, het risico op realtime misbruik.

De evolutie van de beveiliging van Sudo en aanbevelingen voor Linux-gebruikers.

Geconfronteerd met het terugkerende probleem van kwetsbaarheden in Sudo, heeft het project achter deze tool al aangekondigd dat de chroot-functie in een toekomstige versie zal worden verwijderd. Deze beslissing is bedoeld om de broncode te vereenvoudigen en potentiële aanvalsvectoren te beperken door een optie te elimineren die als te riskant en foutgevoelig wordt beschouwd.

Voor Linux-beheerders en -liefhebbers onderstreept deze ontwikkeling het belang van een proactieve en rigoureuze aanpak van systeemrechtenbeheer. Naast het simpelweg oplossen van bugs vereist systeembeveiliging het volgende:

• Een grondig begrip van de sudo-mechanismen, de configuratiebestanden en de commando’s (Het beheersen van de Sudo- en Su-commando’s)
• Regelmatige controle van updates van distributies en hun beveiligingspakketten
• Het toepassen van goede werkwijzen rondom het sudoers-systeem, met name door het vermijden van overmatige toekenning van rechten.
• De integratie van tools voor het monitoren en controleren van gebruikersrechten.
• Het vergroten van het algemene gebruikersbewustzijn over Linux-beveiliging, inclusief wachtwoord- en toegangsbeheer.

Voor wie zijn systeemkennis wil verdiepen of zijn lokale netwerk wil optimaliseren, zijn er praktische hulpmiddelen beschikbaar, zoals de configuratie van de Bind9 DNS-server op lokaal netwerk of de uitvoering ervan binding op Ubuntu voor een verbeterde netwerkrobuustheid.

In het kielzog van de open-sourcebeweging laat elke nieuwe kwetsbaarheid zien hoe levendig en responsief de Linux-gemeenschap is. Maar het dient ook als een herinnering dat beveiliging in de eerste plaats een kwestie is van constante waakzaamheid en goede gewoonten, een essentieel onderdeel van elk effectief en verantwoord beheer.