惠普企業(yè)（HPE）警告說，其Aruba AirWave管理平臺所使用的開源程序Sudo中的一個漏洞會允許任何無特權和未經認證的本地用戶在含有漏洞的主機上獲得root權限。

　　根據(jù)HPE最近的安全公告，Sudo漏洞的危害程度很高，攻擊者一般會通過一個漏洞以較低的權限獲得跳板，然后利用這一跳板來提升權限，因此攻擊者可以利用該漏洞發(fā)起鏈式攻擊。

　　Aruba AirWave管理平臺是HPE對有線和無線基礎設施的實時監(jiān)控和安全警報系統(tǒng)。該Sudo漏洞（CVE-2021-3156）是由Qualys研究人員在1月份報告的，估計會影響到數(shù)百萬終端設備和系統(tǒng)的安全。

　　根據(jù)Sudo許可證，該程序會允許系統(tǒng)管理員授權給某些用戶（或用戶組）root權限或其他用戶身份來運行一些（或所有）命令。

　　Sudo歸來

　　在發(fā)現(xiàn)Sudo漏洞時，Qualys的產品管理和工程副總裁Mehul Revankar在一份研究報告中認為該Sudo漏洞也許是近期最重要的Sudo漏洞（包括范圍和影響），并且該漏洞已經隱藏了近10年。

　　2021年6月18日，該公司公開披露了該漏洞，并表示它影響了8.2.13.0版本之前的所有AirWave管理平臺。

　　根據(jù)安全公告，Sudo的命令行參數(shù)解析代碼中的一個漏洞可能會允許能夠訪問Sudo的攻擊者以root權限來執(zhí)行命令或二進制文件。

　　Qualys研究人員將該Sudo漏洞命名為 “Baron Samedit”，并表示該漏洞是在2011年7月被引入Sudo代碼的。該漏洞最初被認為只影響Linux和BSD操作系統(tǒng)，包括Ubuntu 20.04（Sudo 1.8.31）、Debian 10（Sudo 1.8.27）和Fedora 33（Sudo 1.9.2）的Linux版本。從那時起，很多供應商就已經提出了安全警告。

　　HPE可能是最新一個報告其代碼中存在Sudo依賴性的廠商，但它可能不會是最后一個。

　　但在2月份，蘋果的一份安全公告警告說，macOS（macOS Big Sur 11.2，macOS Catalina 10.15.7，macOS Mojave 10.14.6）在一個未指定的應用程序中發(fā)現(xiàn)了Sudo漏洞。該消息發(fā)布后，蘋果公司及時發(fā)布了一個Sudo補丁（Sudo 1.9.5p2版），緩解了該漏洞的危害。

　　HPE提供針對Sudo的緩解措施

　　據(jù)研究人員稱，在Aruba AirWave管理平臺的背景下，該漏洞可被用來進行權限升級攻擊。通過觸發(fā)應用程序中的‘堆溢出’漏洞，就有可能將用戶的低訪問權限改為root用戶訪問權限。這可以在設備上植入惡意軟件或對低權限的Sudo賬戶進行暴力破解攻擊來實現(xiàn)。

　　Sudo漏洞是一個基于堆的緩沖區(qū)溢出的漏洞，它允許任何本地用戶欺騙Sudo以shell 模式來運行。研究人員解釋說，當Sudo以shell模式運行時，它會用反斜杠轉義命令參數(shù)中的特殊字符。同時，在決定Sudo用戶的權限之前，一個插件會刪除命令中的任何轉義字符。

　　HPE表示，為緩解這一問題，用戶應將AirWave管理平臺升級到8.2.13.0及以上版本。Sudo在今年早些時候發(fā)布了一個補丁。HPE AirWave客戶還可以使用一個技術方案來解決該漏洞。

　　為了盡量降低攻擊者利用這些漏洞的可能性，Aruba建議將AirWave的CLI和基于Web的管理界面限制在專門的第2層網段/VLAN中，或者由第3層及以上的防火墻策略控制。