الرئيسية / أخبار تقنية / ثغرة أمنية في أداة المساعدة sudo قد تسمح للمهاجمين بتنفيذ أوامر عن بعد والتحكم بكامل الجهاز

ثغرة أمنية في أداة المساعدة sudo قد تسمح للمهاجمين بتنفيذ أوامر عن بعد والتحكم بكامل الجهاز

‫وجد أمان Vennix من أبل ثغرة أمنية كبيرة أخرى في الأداة المساعدة sudo والتي قد تسمح للمستخدمين ذوي الامتيازات المنخفضة أو البرامج الخبيثة بتنفيذ أوامر تعسفية بامتيازات إدارية (“الجذر”) على أنظمة Linux أو macOS.‬

تعد Sudo واحدة من أهم الأدوات المساعدة والأكثر استخدامًا والتي تأتي كأمر أساسي مثبت مسبقًا على نظام التشغيل macOS وتقريبا كل نظام تشغيل يعمل بنظام التشغيل UNIX أو Linux.‬

تم تصميم Sudo للسماح للمستخدمين بتشغيل التطبيقات أو الأوامر بامتيازات مستخدم آخر دون تبديل البيئات.‬

‫ومشكلة عدم حصانة تصعيد الامتياز المكتشفة حديثًا والتي يتم تتبعها على أنها CVE-2019-18634 في السؤال الناشئ عن مشكلة تجاوز سعة المخزن المؤقت المستندة إلى المكدس الموجودة في إصدارات Sudo قبل 1.8.26.‬

ووفقًا لـ Vennix لا يمكن استغلال الثغرة إلا عند تمكين خيار “pwfeedback” في ملف تكوين sudoers وهي ميزة توفر ملاحظات مرئية ونجمة (*) عندما يقوم المستخدم بإدخال كلمة المرور في الجهاز.‬

كما تجدر الإشارة إلى أن ميزة pwfeedback غير ممكّنة بشكل افتراضي في إصدار updo من sudo أو العديد من الحزم الأخرى ومع ذلك تقوم بعض توزيعات Linux مثل Linux Mint و Elementary OS بتمكينها في ملفات sudoers الافتراضية الخاصة بها.‬

‫بالإضافة إلى ذلك عند تمكين pwfeedback يمكن استغلال الثغرة الأمنية من قبل أي مستخدم حتى بدون أذونات sudo.‬

‫وأوضح تود سي ميلر مطور سودو “يمكن إعادة إنتاج الخطأ عن طريق تمرير إدخال كبير إلى sudo عبر أنبوب عندما يطلب كلمة مرور نظرًا لأن لدى المهاجم تحكمًا كاملاً في البيانات المستخدمة لتجاوز المخزن المؤقت وهناك احتمال كبير للاستغلال.”‬

ولتحديد ما إذا كان تكوين sudoers الخاص بك قد تأثر يمكنك تشغيل أمر “sudo -l” على جهاز Linux أو macOS الخاص بك لمعرفة ما إذا كان خيار “pwfeedback” ممكّنًا وسرد في إخراج “إدخالات مطابقة الإعدادات الافتراضية”.‬

وفي حال تم تمكينه يمكنك تعطيل المكون المستضعف عن طريق تغيير “الإعدادات الافتراضية pwfeedback” إلى “الإعدادات الافتراضية! pwfeedback” في ملف تكوين sudoers لمنع استغلال ثغرة أمنية تصاعد الامتياز.‬

عن فدوى

شاهد أيضاً

فيسبوك تقدم مميزات جديدة للبث المباشر

‫تعمل فيسبوك على مميزات جديدة تسهل على الأشخاص الوصول إلى البث المباشر حتى إذا لم …

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *