Debian DLA-160-1：sudo 安全更新

low Nessus 插件 ID 82144

语言：

简介

远程 Debian 主机缺少安全更新。

描述

此更新修复了如下所述的 CVE。

CVE-2014-0106

Todd C. Miller 报告，如果 sudoers 文件中禁用 env_reset 选项，则不能将 env_delete 选项正确应用于命令行中指定的环境变量。具有 sudo 权限的恶意用户可能可以通过操纵用户通过合法途径获准运行的环境，以提升的权限运行任意命令。

CVE-2014-9680

Jakub Wilk 报告 sudo 在不进行审查的情况下保留来自用户环境的 TZ 变量。具有 sudo 访问权限的用户可通过此问题，利用 C 库函数中的缺陷解析 TZ 环境变量或打开用户本不能打开的文件。后者可能在读取某些设备特殊文件时在系统行为方面造成更改，或阻止通过 sudo 运行的程序。

对于旧稳定发行版本 (squeeze)，已在版本 1.7.4p4-2.squeeze.5 中修复了这些问题。

对于稳定发行版本 (wheezy)，已在版本 1.8.5p2-1+nmu2 中修复了这些问题。

我们建议您升级 sudo 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。