vulnérabilité découverte dans sudo Le sujet est résolu

[piratebab]

A flaw in exists in sudo’s -e option (aka sudoedit) that allows a malicious user with sudoedit privileges to edit arbitrary files.

Sudo versions 1.8.0 through 1.9.12p1 inclusive are affected. Versions of sudo prior to 1.8.0 construct the argument vector differently and are not affected.

contournement

It is possible to prevent a user-specified editor from being used by sudoedit by adding the following line to the sudoers file.

Defaults!sudoedit env_delete+="SUDO_EDITOR VISUAL EDITOR"

https://www.sudo.ws/security/advisories/sudoedit_any/

[lol]

Salut,
Pour pouvoir en discuter j'ai copié ton sujet ici...

Code : Tout sélectionner

$ apt policy sudo
sudo:
  Installé : 1.9.12p2-1
  Candidat : 1.9.12p2-1
 Table de version :
 *** 1.9.12p2-1 500
        500 http://deb.debian.org/debian testing/main amd64 Packages
        500 http://deb.debian.org/debian unstable/main amd64 Packages
        100 /var/lib/dpkg/status
     1.9.5p2-3+deb11u1 500
        500 http://security.debian.org/debian-security bullseye-security/main amd64 Packages
     1.9.5p2-3 500
        500 http://deb.debian.org/debian bullseye/main amd64 Packages
        500 http://snapshot.debian.org/archive/debian/20220812T092925Z bullseye/main amd64 Packages
     1.8.27-1+deb10u3 500
        500 http://deb.debian.org/debian buster/main amd64 Packages
     1.8.19p1-2.1+deb9u2 500
        500 http://deb.debian.org/debian stretch/main amd64 Packages

Je ne vois aucun rapport de Bogue au sujet de Sudo. C'est normal ?
La vulnérabilité n'est pas à corriger dans le paquet ?

Code : Tout sélectionner

$ apt-listbugs list sudo
Récupération des rapports de bogue… Fait
Analyse des informations Trouvé/Corrigé… Fait

[vv222]

Je ne vois aucun rapport de Bogue au sujet de Sudo. C'est normal ?
La vulnérabilité n'est pas à corriger dans le paquet ?

La version que tu utilises est déjà corrigée : pour Debian stable et sid le correctif est disponible depuis le 18 janvier, et pour Debian testing depuis le 23 janvier.

[lol]

Salut,

La version que tu utilises est déjà corrigée : pour Debian stable et sid le correctif est disponible depuis le 18 janvier, et pour Debian testing depuis le 23 janvier.

Oui, j'ai vu ça cet après-midi - J'ai fini par chercher...
Merci!