Bulletin d'alerte Debian

DSA-3867-1 sudo -- Mise à jour de sécurité

Date du rapport :

30 mai 2017

Paquets concernés :

sudo

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 863731.
Dans le dictionnaire CVE du Mitre : CVE-2017-1000367.

Plus de précisions :

L'équipe Qualys Security a découvert que sudo, un programme conçu pour donner des droits limités de superutilisateur à des utilisateurs particuliers, n'analysait pas correctement « /proc/[pid]/stat » pour lire le numéro de périphérique du tty à partir du champ 7 (tty_nr). Un utilisateur de sudoers peut tirer avantage de ce défaut sur un système avec SELinux activé pour obtenir les droits complets du superutilisateur.

Pour la distribution stable (Jessie), ce problème a été corrigé dans la version 1.8.10p3-1+deb8u4.

Nous vous recommandons de mettre à jour vos paquets sudo.