S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 01 mars 2010 No CERTA-2010-AVI-095

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Sudo

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Contournement de la politique de sécurité.

2 Systèmes affectés

Sudo versions 1.6.9 à 1.7.2p3.

3 Résumé

Une vulnérabilité dans Sudo permet à une personne malintentionnée de contourner la politique de sécurité.

4 Description

Une vulnérabilité dans la commande Sudo permet à un utilisateur, ayant la permission d'utiliser l'option « -e » (sudoedit), d'exécuter des commandes arbitraires.

5 Solution

Mettre à jour Sudo dans sa dernière version stable (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Sudo du 22 février 2010 :

  http://www.sudo.ws/sudo/security.html
  

• Page de téléchargement de la dernière version stable de Sudo :

  http://www.sudo.ws/sudo/stable.html
  

Gestion détaillée du document

01 mars 2010

version initiale.