sudo schwere Sicherheitslücke gefixt?

[Meillo]

Mit einer ksh habe ich das vor ein paar Jahren mal umgesetzt.

Ich nehme an, das war noch ein Unix?

Nee.

Ich bin mir bloss nicht mehr ganz sicher, wie ich es gemacht habe. Das System war ein SLES oder RHEL. Entweder war die ksh dort drauf, oder ich habe sie extern kompiliert und dann dorthin kopiert. Ich denke aber, dass sie schon auf dem System war (sonst haette ich naemlich eher keine ksh zur Hand gehabt; ich verwende immer eine mksh). Ich weiss noch, dass ich es erst mit der bash probiert habe, was nicht ging. Vermutlich habe ich dann in /etc/shells geschaut was sonst noch fuer Shells vorhanden sind.

Hmm ... wobei, es war keine suid-root shell, sondern nur eine suid-nobody shell. Vielleicht haette suid-root nicht funktioniert ...

[OrangeJuice]

Die sudo Lücke hätte man bestimmt gut mit der Flatpak-Lücke verbinden können oder?

In vulnerable versions, the Flatpak portal service passes caller-specified environment variables to non-sandboxed processes on the host system, and in particular to the flatpak run command that is used to launch the new sandbox instance. A malicious or compromised Flatpak app could set environment variables that are trusted by the flatpak run command, and use them to execute arbitrary code that is not in a sandbox. Quelle(CVE-2021-21261)

[detix]

Wenn du einen Root-Account hast - im Prinzip ja!

Also

Code: Alles auswählen

apt purge sudo

?

Das ist für uns KDE Benutzer leider nicht so ganz klar:

Code: Alles auswählen

apt purge sudo
Das folgende Paket wurde automatisch installiert und wird nicht mehr benötigt:
  breeze-gtk-theme
Die folgenden Pakete werden ENTFERNT:
  kde-cli-tools* kscreen* libkf5su-bin* libkf5su5* plasma-desktop* sudo*

ob ich diese Pakete brauche oder nicht, werde ich nicht durchprobieren!
Womit KDE allerdings zufrieden ist, ist sudo durch ein entsprechendes dummy Paket (erstellt mit equivs) zu ersetzen.

[mcb]

Wenn du einen Root-Account hast - im Prinzip ja!

Also

Code: Alles auswählen

apt purge sudo

?

Das ist für uns KDE Benutzer leider nicht so ganz klar:

Code: Alles auswählen

apt purge sudo
Das folgende Paket wurde automatisch installiert und wird nicht mehr benötigt:
  breeze-gtk-theme
Die folgenden Pakete werden ENTFERNT:
  kde-cli-tools* kscreen* libkf5su-bin* libkf5su5* plasma-desktop* sudo*

ob ich diese Pakete brauche oder nicht, werde ich nicht durchprobieren!
Womit KDE allerdings zufrieden ist, ist sudo durch ein entsprechendes dummy Paket (erstellt mit equivs) zu ersetzen.

Danke - für mich als Gnome Benutzer ist es auch nicht ganz klar - obwohl mein Benutzer hat kein sudo -> also könnte es wohl weg ?!?

Code: Alles auswählen

marc@mb:~$ apt remove -s sudo
NOTE: This is only a simulation!
      apt needs root privileges for real execution.
      Keep also in mind that locking is deactivated,
      so don't depend on the relevance to the real current situation!
Reading package lists... Done
Building dependency tree       
Reading state information... Done
The following packages will be REMOVED:
  sudo
0 upgraded, 0 newly installed, 1 to remove and 0 not upgraded.
Remv sudo [1.9.5p2-1]
marc@mb:~$