Des vulnérabilités critiques dans Sudo permettent aux utilisateurs locaux d’obtenir un accès root sur Linux, affectant de nombreuses distributions majeures

Deux vulnérabilités récemment découvertes dans la commande Sudo remettent en question la sécurité de nombreuses distributions Linux majeures. Facilement exploitables par des utilisateurs locaux non privilégiés, ces failles offrent un accès root quasi instantané, ouvrant ainsi la porte à des compromissions sévères des systèmes concernés. Ces vulnérabilités mettent en lumière l’importance capitale d’une mise à jour rapide et d’une protection renforcée pour tous les environnements Linux, que ce soit sur des serveurs ou des postes de travail.

Avec Linux partout, des serveurs d’entreprises aux systèmes embarqués, la commande Sudo joue un rôle fondamental. Elle permet à des utilisateurs limités d’exécuter certaines commandes avec les droits root, justifiant de ce que l’on appelle le principe du moindre privilège. Mais lorsque la sécurité de cet outil est compromise, le risque devient critique. Deux failles, répertoriées sous les références CVE-2025-32462 et CVE-2025-32463, exposent ainsi des failles d’escalade de privilèges locales.

Ces vulnérabilités sont d’autant plus alarmantes qu’elles touchent une version très répandue de Sudo, de la 1.8.8 à la 1.9.17, ce qui veut dire qu’une grande majorité des distributions, d’Ubuntu à Red Hat en passant par Debian, SUSE ou Amazon Linux, doivent impérativement appliquer les correctifs disponibles depuis la sortie de la version 1.9.17p1. Explorons en détail le fonctionnement de ces vulnérabilités, leurs conséquences et les meilleures pratiques pour s’en prémunir.

Analyse technique des vulnérabilités critiques dans Sudo affectant l’accès root

La première faille mise en lumière, CVE-2025-32462, repose sur une défaillance dans la gestion de l’option -h (host) de Sudo. Cette option, introduite en 2013, permet de spécifier sous quel nom d’hôte les privilèges sudo sont autorisés. Concrètement, elle autorise certains utilisateurs à exécuter des commandes sur des machines spécifiques seulement. Cependant, le bug, passé inaperçu pendant plus de 12 ans, permet désormais à un utilisateur local d’exécuter sur sa machine locale des commandes autorisées uniquement sur des machines distantes référencées dans le fichier sudoers.

Cette faille est particulièrement critique dans les environnements où un fichier sudoers commun est distribué à plusieurs machines, pratique courante dans les infrastructures de grande taille utilisant LDAP ou SSSD pour la gestion centralisée des droits sudo. Un utilisateur malveillant peut ainsi exploiter cette faiblesse pour contourner les restrictions et exécuter des actions administratives sur sa propre machine sans disposer des droits nécessaires, en se faisant passer pour une autre machine.

• Origine : mauvaise gestion de l’option -h (host) dans sudoers
• Durée : existe depuis septembre 2013
• Impact : exécution de commandes autorisées pour un hôte distant sur la machine locale
• Environnements concernés : systèmes à fichiers sudoers distribués, LDAP, SSSD
• Score CVSS : 2.8 (faible à modéré, mais exploit pertinent en contexte particulier)

En parallèle, la seconde faille, CVE-2025-32463, revêt une gravité beaucoup plus élevée avec un score CVSS de 9.3. Elle exploite la fonction chroot de Sudo, qui permet d’exécuter une commande avec un répertoire racine modifié (--chroot ou option -R), utile dans certains scénarios d’isolation. Ce mécanisme de sécurité est pourtant au cœur du problème.

Dans cette vulnérabilité, un utilisateur local non privilégié peut créer un faux fichier /etc/nsswitch.conf dans un répertoire sous son contrôle destiné à devenir le nouveau root via chroot. Sudo finira par lire ce fichier dans ce contexte et pourra charger une bibliothèque partagée malveillante ou exécuter des commandes arbitraires avec les privilèges root. Cette attaque ne nécessite aucune entrée dans le fichier sudoers, ce qui en fait une menace universelle sur toutes les installations vulnérables avec la fonction chroot activée.

• Origine : chargement par sudo de fichiers de configuration sous chroot de l’utilisateur
• Impact : escalade directe et complète des privilèges root pour tout utilisateur local
• Nécessité de sudoers : aucune règle requise
• Scopes : systèmes utilisant sudo avec option chroot
• Perspectives : le projet Sudo envisage la suppression complète de l’option chroot future

La combinaison de ces deux vulnérabilités soulève des inquiétudes majeures sur la robustesse de la gestion des droits dans les systèmes Linux, surtout dans un contexte d’adoption grandissante des solutions cloud et virtualisées, où les configurations de sudo sont plus complexes et centralisées.

Impact sur les distributions Linux majeures et implications pour la sécurité système

Les découvertes sur Sudo ont une portée large car la commande est installée par défaut sur quasiment toutes les distributions Linux. Des systèmes grand public comme Ubuntu, Fedora, Debian, aux distributions orientées entreprises telles que Red Hat Enterprise Linux, SUSE Linux Enterprise, et même des variantes cloud comme Amazon Linux est Alpine, toutes sont potentiellement affectées si elles ne disposent pas de la mise à jour adéquate.

Cette ubiquité de Sudo dans le paysage Linux signifie que la simple présence des vulnérabilités incite à une réaction rapide. Les équipes systèmes doivent systématiquement vérifier la version de Sudo installée, identifier si la machine utilise des fichiers sudoers centralisés ou la fonction chroot, et appliquer les correctifs rapidement.

Déjà des fournisseurs majeurs ont publié des avis de sécurité et déployé les mises à jour dans leurs dépôts officiels :

• AlmaLinux 8 et 9
• Alpine Linux
• Amazon Linux
• Debian
• Gentoo
• Oracle Linux
• Red Hat
• SUSE Linux Enterprise
• Ubuntu

Ces correctifs s’étendent sur la version 1.9.17p1 de Sudo, contenant les patchs spécifiques aux deux failles critiques. Une non-mise à jour laissera les systèmes vulnérables à des exploits simples par des utilisateurs malveillants locaux, parfois même sans privilèges.

Pour les équipes d’administration, cela représente une obligation d’audit régulier des configurations sudo via des commandes telles que sudo -l pour lister les droits, tout en intégrant la démarche à un programme global de gestion de la sécurité (hardening), et de suivi des vulnérabilités. Par exemple, maîtriser les commandes Sudo essentielles est une compétence incontournable.

Par ailleurs, cette alerte renouvelle l’importance de suivre les actualités liées au Kernel Linux et aux distributions, notamment avec la sortie régulière de nouvelles versions intégrant des mises à jour critiques, comme Ubuntu 25.10 qui embarque Linux 6.17, optimisé pour la sécurité et la stabilité, accessible ici : Ubuntu 25.10 et noyau Linux 6.17.

Procédures indispensables pour corriger les vulnérabilités Sudo et assurer la protection

Appliquer les mises à jour de sécurité demeure la première étape incontournable. Tous les administrateurs Linux doivent vérifier que la version de Sudo utilisée est au minimum la 1.9.17p1, contenant le correctif publié fin avril. Ce patch corrige notamment la gestion incorrecte de l’option host et désactive la fonctionnalité chroot jugée problématique.

Voici une démarche type pour procéder à la mise à jour sous la plupart des distributions :

1. Identifier la version actuelle de sudo :
   sudo --version
2. Mettre à jour les paquets système :
   sudo apt update && sudo apt upgrade sudo (Debian/Ubuntu)
   ou
   sudo dnf update sudo (Fedora/Red Hat)
3. Vérifier la nouvelle version :
   sudo --version doit afficher v1.9.17p1 ou supérieure
4. Tester les fonctionnalités sudoers et éviter l’utilisation de l’option chroot
5. Redémarrer les services associés si nécessaire

Pour les structures utilisant des fichiers sudoers distribués via LDAP ou SSSD, le patch élimine concrètement la possibilité d’exécuter des commandes destinées initialement à un autre hôte. Cela doit être vérifié car ce scénario est un cas d’exploitation classique de la première vulnérabilité.

Outre la mise à jour, voici quelques bonnes pratiques pour limiter les risques, même en cas d’attaque :

• Limiter strictement les utilisateurs dans le groupe sudo
• Surveiller les logs et activités sudo en temps réel
• Éviter la configuration complexe des sudoers fondée sur la fonctionnalité chroot
• Prioriser les mises à jour régulières de tous les paquets du système
• Former les utilisateurs à la sécurité des mots de passe et à l’hygiène numérique (voir méthode de réinitialisation de mots de passe Linux)

La vigilance reste capitale, car même un système à jour peut être mis en danger par une mauvaise configuration sudoers ou des permissions mal gérées sur les machines Linux.

Cas pratiques d’exploitation des vulnérabilités dans Sudo et retour d’expérience

La simplicité d’exploitation des vulnérabilités dans Sudo a été démontrée par plusieurs chercheurs, dont Rich Mirch de Stratascale. Dans un contexte typique, un utilisateur local sans privilège peut en quelques commandes obtenir un accès root quasi total :

• Pour CVE-2025-32462, un utilisateur tranche l’hypothèse d’un sudoers distribué à plusieurs hôtes. En appelant sudo avec l’option host et profitant du bug, il peut exécuter des commandes qui devraient être limitées à un hôte distant sur la machine locale.
• Pour CVE-2025-32463, un utilisateur crée un faux dossier root contenant un fichier /etc/nsswitch.conf modifié. Puis il appelle sudo avec l’option chroot pour charger ce fichier et détourner la bibliothèque partagée, gagnant ainsi l’accès root.

Ces exemples montrent que même en l’absence de droits sudo déclarés dans le fichier sudoers, un système non patché est vulnérable. L’attaque est à la portée de toute personne connaissant ces détails, ce qui est maintenant public depuis avril 2025. Le risque principal concerne les machines accessibles physiquement ou en session distante mais déjà connectées à l’utilisateur local.

Les enseignes et entreprises exploitant des infrastructures Linux doivent prendre au sérieux cette faille. Un audit complet sur la configuration de sudo, ainsi qu’une vérification des versions déployées, reste impératif. Par ailleurs, des démarches complémentaires, comme la configuration de systèmes de détection d’intrusion (IDS) et l’analyse des journaux, réduisent les risques d’exploitation en temps réel.

Évolution de la sécurité Sudo et recommandations pour les utilisateurs Linux

Face à la problématique récurrente des vulnérabilités dans Sudo, le projet derrière cet outil a déjà annoncé la suppression prochaine de la fonction chroot dans une version à venir. Cette décision vise à simplifier le code source et à limiter les vecteurs d’attaque possibles en éliminant une option jugée trop risquée et source d’erreurs.

Pour les administrateurs et passionnés Linux, cette évolution souligne l’importance d’une approche proactive et rigoureuse dans la gestion des privilèges système. Au-delà d’une correction ponctuelle, la sécurisation du système passe par :

• Une connaissance fine des mécanismes sudo, de ses fichiers de configuration et commandes (maîtriser les commandes Sudo et Su)
• Un suivi régulier des mises à jour des distributions et de leurs paquets de sécurité
• L’adoption de bonnes pratiques autour du système sudoers, notamment en évitant l’attribution excessive des droits
• L’intégration d’outils de surveillance et d’audit des droits utilisateurs
• La sensibilisation globale des utilisateurs à la sécurité Linux, y compris à la gestion des mots de passe et des accès

Pour ceux qui souhaitent approfondir leurs connaissances systèmes ou optimiser leur réseau local, des ressources pratiques sont disponibles, comme la configuration du serveur DNS Bind9 en réseau local ou la mise en place de bonding sur Ubuntu pour une meilleure robustesse réseau.

Dans la mouvance des logiciels libres, chaque publication d’une faille souligne à quel point la communauté Linux est vive et réactive. Mais elle rappelle aussi que la sécurité est avant tout une affaire d’attention constante et de bons réflexes, composante essentielle de toute administration efficace et responsable.