chwoot: Kritische Linux-Lücke macht Nutzer auf den meisten Systemen zu Root !

Quote from pisel

Die "gute" Nachricht:

Quote

Die aktuell stabile Debian-Version "Bookworm" ist nicht betroffen – ihre sudo-Version ist schlicht zu alt.

ist das so? Denn:

:~$ apt policy sudo
sudo:
  Installiert:           1.9.13p3-1+deb12u2
  Installationskandidat: 1.9.13p3-1+deb12u2
  Versionstabelle:
 *** 1.9.13p3-1+deb12u2 500
        500 http://security.debian.org/debian-security bookworm-security/main amd64 Packages
        100 /var/lib/dpkg/status

Vielleicht bekommt systemd run0 dadurch ja Rückenwind. Soll von der Implementierung her sicherer sein als `sudo`.

Gruß, noisefloor

Hm. Bei meinem Bookworm am RPi5 mit Update vom letzten Freitag sieht es so aus:

hyle@rpi5:~ $ sudo -V
Sudo-Version 1.9.13p3
Sudoers-Policy-Plugin Version 1.9.13p3
Sudoers-Datei-Grammatik-Version 50
Sudoers I/O plugin version 1.9.13p3
Sudoers audit plugin version 1.9.13p3
hyle@rpi5:~ $ apt policy sudo
sudo:
  Installiert:           1.9.13p3-1+deb12u1
  Installationskandidat: 1.9.13p3-1+deb12u2
  Versionstabelle:
     1.9.13p3-1+deb12u2 500
        500 http://deb.debian.org/debian-security bookworm-security/main arm64 Packages
 *** 1.9.13p3-1+deb12u1 500
        500 http://deb.debian.org/debian bookworm/main arm64 Packages
        100 /var/lib/dpkg/status

Interessant daran ist, dass der Server einen 500er liefert. Zumindest interpretiere ich das so.

Quote from hyle

500 http://deb.debian.org/debian-security bookworm-security/main arm64 Packages

Moin!

Wenn Heise und der Entdecker recht haben, dann betrifft es uns nicht.

Quote

da der schadhafte Code erst in dieser Version auftauchte. In den von ihm getesteten stabilen Versionen 1.9.14 bis 1.9.17 findet sich der Bug.

Wir haben 1.9.13.

Und der 2te Fehler. Siehe Zitat

Quote

Die Lücke lauerte seit 12 Jahren in sudo und ist nun in Version 1.9.17p1 oder neuer behoben. Übrigens anders als ihr "großer Bruder" auch auf Debian GNU/Linux: Dort behebt sudo 1.9.13p3-1+deb12u2 den Fehler.

Diese Version hat auf einen Debian12-System eben ein Upgrade gebracht.

Damit scheint alles im Grünen zusein.

73 de Bernd

Quote from pisel

Quote from hyle

Hm. Bei meinem Bookworm am RPi5 mit Update vom letzten Freitag sieht es so aus:

Code

hyle@rpi5:~ $ sudo -V
Sudo-Version 1.9.13p3
...

Demnach sind wir wohl alle betroffen

Doch nicht, denn:

Quote

... auf Debian GNU/Linux: Dort behebt sudo 1.9.13p3-1+deb12u2 den Fehler.

Dann ist ja alles gut

apt policy sudo
sudo:
  Installiert:           1.9.13p3-1+deb12u2
  Installationskandidat: 1.9.13p3-1+deb12u2
  Versionstabelle:
 *** 1.9.13p3-1+deb12u2 500
        500 http://deb.debian.org/debian-security bookworm-security/main arm64 Packages
        100 /var/lib/dpkg/status
     1.9.13p3-1+deb12u1 500
        500 http://deb.debian.org/debian bookworm/main arm64 Packages

Ja, alles gut:

moi@pie:~ $ zcat /usr/share/doc/sudo/changelog.Debian.gz | head -n 6
sudo (1.9.13p3-1+deb12u2) bookworm-security; urgency=high

  * Non-maintainer upload by the Security Team.
  * Local Privilege Escalation via host option (CVE-2025-32462)

 -- Salvatore Bonaccorso <carnil@debian.org>  Tue, 24 Jun 2025 09:29:50 +0200
moi@pie:~ $ 

Mal ne dumme Frage: Betreibt jemand von Euch eine Raspberry auf die mehr als nur Ihr und zuverlässige Personen Konsolenzugriff haben und auch noch C Programme schreiben können? Denn so wie ich verstehe ist nur dann chwoot ein Problem.

pisel Das ist kein Offense. Ich finde es gut dass Du darauf hingewiesen hast