修復 Sudo Buffer Overflow 漏洞 (CVE-2021-3156)

前言

簡單來說，近期 Sudo 出現 Buffer Overflow 漏洞 (CVE-2021-3156)，相關報導如下：

• Sudo - Buffer overflow in command line unescaping
• CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit) | Qualys Security Blog
• CVE-2021-3156- Red Hat Customer Portal
• Privilege escalation via command line argument parsing - sudo - (CVE-2021-3156) - Red Hat Customer Portal
• 存在近十年的 Linux Sudo 漏洞，可讓任何本機使用者取得執行根權限 | iThome

修復 Sudo Buffer Overflow 漏洞

本文，將以 CentOS 7.9 版本為例。首先，檢查目前的 Sudo 版本資訊。

你可以下載 RedHat 官方提供的檢查工具，或者採用 Sudo 官網提供的檢測方式，查看執行「sudoedit -s /」的指令執行結果。從下圖可以看到，採用 RedHat 檢查工具，可以看到結果是「This sudo version is vulnerable.」，而採用 Sudo 官方提供的檢測方式得到的結果是「sudoedit: /: not a regular file」，這二種檢查的結果都表示這台主機的 Sudo 套件尚未修復。

你可以採用 YUM 的方式「yum -y update」去更新套件 (包含 sudo)，若是主機無法連外網的朋友，也可以到 CentOS Mirror Site 去下載「sudo-1.8.23-10.el7_9.1.x86_64.rpm」套件進行修復。完成修復的動作後，再次執行即可發現順利修復。