来自 Red Hat 安全公告 2013:1353：

更新后的 sudo 程序包修复了多种安全问题和多个缺陷，现在可用于 Red Hat Enterprise Linux 5。

Red Hat 安全响应团队将此更新评级为具有低危安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

sudo（以超级用户执行）实用工具允许系统管理员向某些用户提供以根用户身份运行命令的能力。

在 sudo 处理时间戳文件的方式中发现一个缺陷。如果攻击者能够以本地用户的身份运行代码，并且能够控制系统时钟，则其无需知晓受害者的密码，即可运行受害者用户能够通过 sudo 运行的命令，从而获取其他权限。(CVE-2013-1775)

已发现当在 /etc/sudoers 文件中启用 tty_tickets 选项时，sudo 未正确验证控制终端设备。如果攻击者能够以本地用户的身份运行代码，则其无需知晓受害者的密码，即可运行受害者用户能够通过 sudo 运行的命令，从而获取其他权限。（CVE-2013-1776、CVE-2013-2776）

此更新还修复以下缺陷：

* 由于 visudo 实用工具的周期检测算法中的缺陷，visudo 错误地将 /etc/sudoers 文件中的某些别名定义评估为周期。结果，出现有关未定义别名的警告消息。此错误已修复，现在通过 visudo 正确解析 /etc/sudoers，不再出现警告消息。(BZ#849679)

* 以前，如果包含 Active Directory (AD) 群组，“sudo -l”命令不能正确解析 /etc/sudoers 文件。最多只能解析文件的第一个 AD 群组信息，然后即解析失败并出现以下消息：

sudo：unable to cache group ADDOM\admingroup, already exists

通过此更新，底层代码得到修改，“sudo -l”现在可正确解析包含 AD 群组的 /etc/sudoers。(BZ#855836)

* 以前，sudo 实用工具未正确转义用户名中包含的反斜线字符。结果，如果系统将集成 LDAP 或 Active Directory (AD) 的 sudo 作为主要认证机制，则用户无法在该系统上进行认证。通过此更新，已修改 sudo，可正确处理 LDAP 和 AD 名称，身份验证进程现在按预期运行。(BZ#869287)

* 在此更新之前，“visudo -s (strict)”命令未正确解析某些别名定义。结果，出现错误消息。已修复此错误，使用“visudo

* s”时不再出现解析错误。(BZ#905624)

建议所有 sudo 用户升级此更新后的程序包，其中包含用于修正这些问题的向后移植的修补程序。

检测

Oracle Linux 5：sudo (ELSA-2013-1353)

medium Nessus 插件 ID 70288

未找到变更日志