Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Sudo opravuje 2 kritické zranitelnosti

Sudo verzí 1.9.17p1 opravuje 2 kritické zranitelnosti [1][2]. Produkty Red Hat jsou těmito zranitelnostmi postiženy jen některé, přičemž pro některé z nich již byla vydána oprava. Podrobnosti lze nalézt na [3][4]. Vydání Debianu postihuje pouze zranitelnost CVE-2025-32462 [5][6]. Jednotlivá vydání Debianu a Ubuntu a jejich opravené verze: Debian [5][6]: bullseye (security) - 1.9.5p2-3+deb11u2 bookworm (security) - 1.9.13p3-1+deb12u2 trixie, sid - 1.9.16p2-3 Ubuntu [7][8]: plucky - 1.9.16p2-1ubuntu1.1 oracular - 1.9.15p5-3ubuntu5.24.10.1 noble - 1.9.15p5-3ubuntu5.24.04.1 jammy - 1.9.9-1ubuntu2.5 focal - 1.8.31-1ubuntu1.5+esm1 bionic - 1.8.21p2-3ubuntu1.6+esm1 xenial - 1.8.16-0ubuntu1.10+esm3 trusty - 1.8.9p5-1ubuntu1.5+esm8

Sudo - privilege escalation (CVE-2025-32463)
CVSS 9.3 (Critical)

Neautentizovaný lokální útočník může vykonávat libovolné příkazy s oprávněním root. Zranitelnost je zneužitelná pouze v případě, že je v systému umožněno používat s příkazem sudo volbu "--chroot" ("-R") [9][2]. Zranitelnost systému lze ověřit příkazem "sudo grep -r "CHROOT=" /etc/sudoers /etc/sudoers.d/". Pokud příkaz vrátí neprázdný výstup a sudo je ve zranitelné verzi, systém je zranitelný.

Zranitelnost se nachází v produktu:

  • Sudo; >=1.9.14, <1.9.17p1;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 30. 6. 2025.

Sudo - privilege escalation (CVE-2025-32462)
CVSS 9.3 (Critical)

Neautentizovaný lokální útočník může vykonávat příkazy s oprávněním root zadáním příkazu sudo s volbou "--host" ("-h"). Zranitelnost je zneužitelná pouze v případě, že soubor sudoers obsahuje odlišná oprávnění pro různé hostitele [1].

Zranitelnost se nachází v produktu:

  • Sudo; >=1.8.8, <1.9.17p1;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 30. 6. 2025.

Za CESNET, z.s.p.o. Martin Krajči dne 3. 7. 2025.

CESNET, z.s.p.o. Logo