Patch kerentanan eskalasi hak akses lokal pada Sudo (CVE-2025-32462, CVE-2025-32463)

Ringkasan

Baru-baru ini, dua kerentanan eskalasi hak akses lokal pada utilitas Sudo telah diungkap dan patch telah disediakan.
Kerentanan ini memungkinkan pengguna biasa memperoleh hak akses root.

• CVE-2025-32462

  • Kerentanan eskalasi hak akses dengan tingkat keparahan rendah yang ada pada opsi host di Sudo.
  • Bug yang telah ada di dalam kode selama lebih dari 12 tahun ini memungkinkan eskalasi ke hak akses root tanpa eksploit tambahan jika hak akses dibatasi berdasarkan nama host dalam konfigurasi Sudo tertentu yang umum digunakan.
  • Mempengaruhi Sudo v1.9.0~1.9.17, v1.8.8~1.8.32

• CVE-2025-32463

  • Kerentanan kritis (Critical) pada opsi chroot (-R) di Sudo.
  • Dapat menipu Sudo agar memuat shared library arbitrer di bawah direktori root yang ditentukan pengguna.
  • Serangan dimungkinkan dengan memanfaatkan file /etc/nsswitch.conf (hanya pada sistem yang mendukung file tersebut).
  • Mempengaruhi Sudo v1.9.14~1.9.17. Versi lama (v1.8.x) tidak terdampak karena tidak memiliki fitur tersebut.

Langkah penanganan

• Pembaruan: Disarankan menerapkan patch keamanan terbaru untuk Sudo (1.9.17p1 atau lebih baru)
• Mitigasi sementara: Periksa semua aturan Sudo di /etc/sudoers dan /etc/sudoers.d
  • Jika aturan Sudo disimpan di LDAP, periksa aturan dengan alat seperti ldapsearch
  • Periksa apakah setiap aturan menggunakan opsi runchroot= atau direktif CHROOT=
  • Periksa apakah opsi Host atau Host_Alias disertakan.

Rekomendasi

• Administrator sistem dan penanggung jawab keamanan harus segera memperbarui Sudo ke versi terbaru. (Opsi chroot tidak lagi didukung mulai 1.9.17p1.)
• Periksa log sistem untuk memastikan tidak ada riwayat penggunaan Sudo yang tidak normal.

[techiemann]

Di semua sistem yang menjalankan Sudo, saya malah mencabut semuanya dan membuat doas bekerja sebagai alias pengganti sudo, dan sepertinya saya pernah dengar kalau sisi ini punya keunggulan keamanan yang lebih baik.