Forum

Bonjour,

Je voulais partager avec vous une annonce faite il y a une semaine environ dans plusieurs publications.
Pour faire simple, il s'agirait d'une faille avec sudo (CVE-2019-14287) qui en temps normal vérifie si un utilisateur peut ou pas exécuter un programme. Apparemment, si on s'identifie avec l'utilisateur -1 ou 4294967 295 (sauf erreur qui se traduit en -1 en binaire signé) permet d'acquérir les droits root sur n'importe quel fichier (système ou autre).

Un patch a été déployer sur la version sudo 1.8.28, disponible sous mageia depuis le 15 octobre.

Intéressant non ?
voilà c'est tout.

source :
https://www.tomsguide.fr/linux-une-faille-dans-sudo-permet-dobtenir-simplement-lacces-root/
https://www.nextinpact.com/news/104434-linux-importante-faille-dans-sudo-plupart-distributions-mises-a-jour.htm
https://www.developpez.com/actu/142003/Linux-une-faille-de-securite-a-ete-detectee-dans-sudo-mais-a-deja-ete-corrigee-sur-Red-Hat-SUSE-et-Debian/
https://www.crazyws.fr/securite/faille-de-securite-sur-sudo-NF12Z.html
https://linuxfr.org/users/claudex/journaux/faille-dans-sudo

Édité par Fafoulous Le 21/10/2019 à 20h08

Oui j'ai vu cela aussi.

Cette faille etait exploitable dans des cas spécifiques.

C'est corrigé.

Ce qui m'a surpris, c'était que ça donnait les droits super utilisateur
Et c'était assez "simple"

Édité par Ami age Le 22/10/2019 à 08h15

Je sais pas pour vous, mais j'avoue que pour ma part j'ai été content de me dire que sous Mageia on n'utilisait pas sudo

Tu n'utilises pas sudo

c'est pas forcément mieux, quand on veut passer root, on tape un su et on se retrouve root pour toutes les commandes, alors qu'avec sudo, tu es root strictement pour la commande que tu invoques, ça évite bien des bêtises dans ton shell root (du style le rm -f, c'est du vécu...)

Quand je débutais en Unix, quand je passais root, je passais la console en caractères rouges... (Après, je ne le faisais plus, j'étais root tout le temps).

Il est possible de passer automatiquement la console en rouge en modifiant les variables PS1, et on peut le faire avec les bashrc je suppose. Donc entièrement automatique. On pourrait même le faire par défaut sous Mageia.

J'ai depuis longtemps une invite de commande en rouge pour root, et en vert pour le user.

Bonjour,



Un peu comme doit le faire le paquet colorprompt ( aprés je n' ai pas testé) ?

Édité par nic80 Le 23/10/2019 à 21h00