選擇語言
sudo官網(wǎng)披露
成功利用此漏洞可提權(quán)root
1月26日，Sudo發(fā)布安全通告，修復(fù)了安全漏洞CVE-2021-3156。在sudo解析命令行參數(shù)時(shí)存在基于堆的緩沖區(qū)溢出。本地用戶無需進(jìn)行身份驗(yàn)證即可利用此漏洞獲得root權(quán)限。
CVSS評(píng)分：
| CVE | V3.1 Vector(Base) | Base Score | V3.1 Vector(Temporal Score) | Temporal Score |
| CVE-2021-3156 | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H | 7.8 | E:F/RL:O/RC:C | 7.2 |
受影響產(chǎn)品：
| 產(chǎn)品名稱 | 受影響產(chǎn)品版本 | 修復(fù)補(bǔ)丁包/升級(jí)包版本 |
| AS13000 | 3.7.16.20及之前的版本 | sudo-AS13000-cve-2021-3156-update.tar.gz |
| ICOS | 5.8.2之前的版本 | icos_update_2021020201 |
| 5.8.2 | icos_update_2021020202 | |
| ICS | 5.8.2及之前的版本 | 升級(jí)ICS至5.8.2 后打補(bǔ)丁hotfix001 |
Sudo在命令參數(shù)中轉(zhuǎn)義反斜杠時(shí)存在基于堆的緩沖區(qū)溢出漏洞。當(dāng)sudo通過-s或-i命令行選項(xiàng)在shell模式下運(yùn)行命令時(shí)，它將在命令參數(shù)中使用反斜杠轉(zhuǎn)義特殊字符。但使用-s或-i標(biāo)志運(yùn)行sudoedit時(shí)，實(shí)際上并未進(jìn)行轉(zhuǎn)義，從而可能導(dǎo)致緩沖區(qū)溢出。
漏洞解決方案：請(qǐng)用戶直接聯(lián)系客戶服務(wù)人員，獲取補(bǔ)丁以及相關(guān)的技術(shù)支持。
FAQ：無
更新記錄：20210209-V1.0-Initial Release
浪潮安全應(yīng)急響應(yīng)對(duì)外服務(wù)：獲取技術(shù)支持：http://www.bblbs.net/lcjtww/2317452/2317456/2317460/index.html
本文檔提供的所有數(shù)據(jù)和信息僅供參考，且"按原樣"提供，不承諾任何明示、默示和法定的擔(dān)保，包括(但不限于)對(duì)適銷性、適用性及不侵權(quán)的擔(dān)保。在任何情況下，浪潮或其直接或間接控制的子公司，或其供應(yīng)商，均不對(duì)任何一方因依賴或使用本信息而遭受的任何損失承擔(dān)責(zé)任，包括直接，間接，偶然，必然的商業(yè)利潤(rùn)損失或特殊損失。浪潮保留隨時(shí)更改或更新此文檔的權(quán)利。
聯(lián)系我們
