数百万のLinuxおよびUnixシステムが、 Sudoの2つの脆弱性は、ユーザーが制御された方法で昇格された権限でコマンドを実行できるようにする基本的なツールです。これらの欠陥は、 CVE-2025-32462 y CVE-2025-32463は、最近サイバーセキュリティの専門家によって分析・報告されており、その影響とパッチ適用の緊急性について警告している。
Sudo はほとんどの GNU/Linux ディストリビューションや macOS などの類似のシステムではデフォルトで存在するため、この発見によりシステム管理者や企業は警戒を強めている。 どちらのバグも権限昇格を可能にする 管理者権限のないアカウントからアクセスされ、影響を受けるコンピュータの整合性が損なわれます。
Sudo とは何ですか? なぜそれほど重要なのですか?
SudoはUnix環境では必須のユーティリティです。 ルートとしてログインせずに管理タスクを実行するために使用このツールは、特定のコマンドを実行できるユーザーを詳細に制御し、最小権限の原則を維持し、監査の目的ですべてのアクションをログに記録するのに役立ちます。
sudoの設定はファイルから管理されます /etc/sudoers、ユーザー、コマンド、またはホストに基づいて特定のルールを定義できます。これは、大規模なインフラストラクチャのセキュリティを強化するための一般的な方法です。
sudoの脆弱性に関する技術的詳細
CVE-2025-32462: ホストオプションの失敗
この脆弱性は 10 年以上にわたって Sudo のコード内に隠されていました。1.9.0から1.9.17までの安定バージョンと1.8.8から1.8.32までの旧バージョンに影響します。その原因は、 -h o --host当初は 他のコンピュータの一覧表示権限に制限する必要がある ただし、制御の失敗により、システム自体で root としてコマンドを実行したり、ファイルを編集したりすることができます。
攻撃ベクトルは、Sudo ルールが特定のホストまたはホスト名パターンに制限されている特定の構成を利用します。したがって、ローカル ユーザーは、別の承認されたホストでコマンドを実行するふりをしてシステムを騙し、ルート アクセスを取得できます。 複雑なエクスプロイトを必要とせずに.
このバグの悪用は、アクセスをセグメント化するために Host または Host_Alias ディレクティブが一般的に使用されるエンタープライズ環境では特に懸念されます。 追加のエクスプロイトコードは必要なく、オプション付きでSudoを呼び出すだけです。 -h ホストは制限を回避できます。
CVE-2025-32463: Chroot機能の悪用
の場合 CVE-2025-32463、深刻度はより高く: 1.9.14 年バージョン 2023 で chroot 機能に導入された脆弱性により、ローカル ユーザーが自分の管理下にあるパスから任意のコードを実行し、管理者権限を取得できるようになります。
この攻撃は、ネームサービススイッチ（NSS）システムの操作に基づいています。sudoを以下のオプション付きで実行すると、 -R (chroot) を実行し、攻撃者が制御するディレクトリを root として設定すると、Sudo はこの操作された環境から構成とライブラリを読み込みます。 攻撃者は悪意のある共有ライブラリを強制的にロードすることができる （例えば、 /etc/nsswitch.conf （偽のシェルとchrootルートに用意されたライブラリ）を使用して、システム上でルートシェルを取得します。この脆弱性は複数のディストリビューションで確認されているため、最新のアップデートを適用することをお勧めします。
この手法のシンプルさは、C コンパイラのみを使用してライブラリを作成し、Sudo を使用して適切なコマンドを起動するという実際のシナリオで検証されています。 高度な技術や複雑な設定は必要ありません.
これらの2つの脆弱性は、Ubuntu、Fedora、macOS Sequoiaの最新バージョンで確認されていますが、他のディストリビューションも影響を受ける可能性があります。保護を強化するには、開発者が推奨するアップデートを適用することが不可欠です。
管理者とユーザーがすべきこと
唯一の有効な対策はSudoを更新することです バージョン 1.9.17p1 以降では、このリリースで開発者が両方の問題を修正しました。 ホスト オプションは正当な使用に制限され、chroot 関数のパスとライブラリ管理が変更されました。Ubuntu、Debian、SUSE、Red Hat などの主要なディストリビューションでは、対応するパッチがすでにリリースされており、そのリポジトリには安全なバージョンが存在します。
セキュリティ専門家も推奨 ファイルを監査する /etc/sudoers y /etc/sudoers.d Host または Host_Alias ディレクティブの考えられる使用箇所を特定し、バグを悪用できるルールがないことを確認します。
有効な代替策はありません。すぐに更新できない場合は、感染リスクは依然として高いものの、アクセスと管理上の制限を注意深く監視することをお勧めします。対策と推奨事項の詳細については、こちらのガイドをご覧ください。 Linuxのセキュリティアップデート.
この事件は、定期的なセキュリティチェックと、Sudoのような重要なコンポーネントを最新の状態に保つことの重要性を浮き彫りにしています。これほど広く普及しているユーティリティに10年以上も隠れた欠陥が存在していたことは、継続的なレビューを行わずにインフラツールに盲目的に依存することの危険性を如実に示しています。
Sudoにおけるこれらの脆弱性の検出は、積極的なパッチ適用と監査戦略の重要性を浮き彫りにしています。管理者および組織は、システムを見直し、利用可能なパッチを適用し、重要なオペレーティングシステムコンポーネントに影響を与える将来の問題に常に注意を払う必要があります。
