Sudo Schwachstelle

    sudo apt-get update && sudo apt-get upgrade und es wird eine neue Version installiert. Ungeprüft würde ich erwarten das es schon eine gepatchte Variante ist. Da mein Pi nicht von außerhalb erreichbar ist, ist mir das aber ziemlich egal.

    Zitat von Lucifer Morningstar

    sudo apt-get update && sudo apt-get upgrade

    Genaus so. Es kann eh nicht schaden, das ab und zu mal zu machen, denn das updatet den gesamten Raspi und nicht nur sudo.


    Betroffen sind die Versionen vor Version 1.9.5p2. Mit dem Befehl sudo -V kann man sich anzeigen lassen, welche Version von sudo auf dem Raspi oder dem Mac läuft.

    Nach sudo apt-get update && sudo apt-get upgrade und sudo -V kommt bei mir das:

    Code
    pi@mein-pi:~ $ sudo -V
Sudo-Version 1.8.27
Sudoers-Policy-Plugin Version 1.8.27
Sudoers-Datei-Grammatik-Version 46
Sudoers I/O plugin version 1.8.27

    Da ist ja dann doch eine Diskrepanz zwischen 1-8.27 und der 1.9.5p2

    Wie käme man denn sonst auf die aktuelle Version?


    Zitat von Spy

    Nach sudo apt-get update && sudo apt-get upgrade und sudo -V kommt bei mir das:

    Zitat von Spy
    Code
    Sudo-Version 1.8.27
Sudoers-Policy-Plugin Version 1.8.27
Sudoers-Datei-Grammatik-Version 46
Sudoers I/O plugin version 1.8.27

    Genau das kommt bei mir auch heraus. Alles geupdatet und es bleibt bei Version 1.8.27.

    Und nun?

    Zumindest unter Debian Buster ist das die aktuellste Version. Wie gesagt, ich hatte es nicht geprüft. Kann also sein das es noch nicht gepatcht ist.


    Meine persönliche Empfehlung ist sudo zu deinstallieren und dem Nutzer sowie root ein unterschiedliches Passwort zu geben. Sollte man root rechte brauchen kann man mit su auch den User wechseln. Solle sich jemand Zugang zum System verschaffen ist es so etwas sicherer.


    Wenn der Pi aber nicht von außen Erreichbar ist, kann es euch eigentlich egal sein. Wenn sich dann nämlich jemand trotzdem irgendwie Zugang verschafft hat, hab ihr viel größere Probleme als eine Schwachstelle in sudo. :P

    Zitat von Lucifer Morningstar

    Meine persönliche Empfehlung ist sudo zu deinstallieren und dem Nutzer sowie root ein unterschiedliches Passwort zu geben. Sollte man root rechte brauchen kann man mit su auch den User wechseln. Solle sich jemand Zugang zum System verschaffen ist es so etwas sicherer.

    Meine persönliche Empfehlung ist es, gar nichts zu tun. Der Fehler kann nur jemand ausnutzen, der auf dem Raspi eingeloggt ist. Eine Risikoanalyse in meinem Haushalt sagt mir, dass ich das Thema vernachlässigen kann.

    Danke dafür 1
    Zitat von sschuste

    Meine persönliche Empfehlung ist es, gar nichts zu tun. Der Fehler kann nur jemand ausnutzen, der auf dem Raspi eingeloggt ist. Eine Risikoanalyse in meinem Haushalt sagt mir, dass ich das Thema vernachlässigen kann.

    Falls es so klang, als wäre das meine Empfehlung in Bezug auf diese Lücke, möchte ich mich entschuldigen. Das war generell gemeint. Ich bin kein sonderlich großer Fan von sudo und halte es für genau so unnötig wie Schlangenöl von Avast und Co.