Correção de vulnerabilidades de escalonamento local de privilégios no Sudo (CVE-2025-32462, CVE-2025-32463)

Visão geral

Recentemente, foram divulgadas duas vulnerabilidades de escalonamento local de privilégios no utilitário Sudo, e correções já estão disponíveis.
Essas vulnerabilidades permitem que um usuário comum obtenha privilégios de root.

• CVE-2025-32462

  • Vulnerabilidade de baixa severidade de escalonamento de privilégios presente na opção host do Sudo.
  • É um bug que existe no código há mais de 12 anos e, em determinadas configurações do Sudo (comuns), quando as permissões são restringidas com base no nome do host, é possível elevar privilégios para root sem exploração adicional.
  • Afeta o Sudo v1.9.0~1.9.17 e v1.8.8~1.8.32

• CVE-2025-32463

  • Vulnerabilidade crítica presente na opção chroot (-R) do Sudo.
  • É possível induzir o Sudo a carregar bibliotecas compartilhadas arbitrárias sob um diretório raiz especificado pelo usuário.
  • O ataque pode ser realizado usando o arquivo /etc/nsswitch.conf (apenas em sistemas que suportam esse arquivo).
  • Afeta o Sudo v1.9.14~1.9.17. Versões legadas (v1.8.x) não são afetadas por não possuírem esse recurso.

Medidas de resposta

• Atualização: recomenda-se aplicar a correção de segurança mais recente do Sudo (1.9.17p1 ou posterior)
• Medida temporária: verifique todas as regras do Sudo em /etc/sudoers e /etc/sudoers.d
  • Se as regras do Sudo estiverem armazenadas em LDAP, verifique-as com ferramentas como ldapsearch
  • Em cada regra, verifique o uso da opção runchroot= ou da diretiva CHROOT=
  • Verifique se há opções Host ou Host_Alias.

Recomendações

• Administradores de sistema e responsáveis por segurança devem atualizar imediatamente o Sudo para a versão mais recente. (A opção chroot não é mais suportada a partir da 1.9.17p1.)
• Verifique os logs do sistema para identificar qualquer histórico anormal de uso do Sudo.

[techiemann]

Em todos os sistemas em que o Sudo está rodando, eu removo tudo e deixo o doas funcionando por meio de um alias no lugar do sudo; acho que ouvi dizer que esse lado tem mais vantagens em termos de segurança.