พบช่องโหว่คำสั่ง sudo ยกระดับสิทธิ์ให้กลายเป็น root ได้

Joe Vennix นักวิจัยด้านความปลอดภัยจาก Apple เผยว่า พบช่องโหว่ร้ายแรง ในคำสั่ง sudo หนึ่งในคำสั่งหลักของระบบปฏิบัติการบน Linux ซึ่งอาจถูกผู้ใช้งานทั่วไป และ แฮกเกอร์เข้าถึงสิทธิ์ควบคุมและรันโค้ดคำสั่งในระดับ root ได้

โดยช่องโหว่หมายเลขนี้คือ CVE-2019-14287 ทำให้ผู้โจมตีสามารถใช้ UID เลข -1 หรือ 4294967295 ระบบจะเกิดบั๊กแล้วตีความว่าเป็นคำสั่งจาก user 0 ซึ่งเป็นสิทธิ์ระดับ root แม้ว่าในไฟล์ sudoer จะระบุไว้ว่าไม่ให้สิทธิ์ก็ตาม

ช่องโหว่นี้กระทบ sudo เวอร์ชันต่ำกว่า 1.8.28 เป็นต้นไป ผู้ดูแลระบบควรทำการอัพเดตเป็นเวอร์ชัน 1.8.28