Engadget | Technology News & Reviews

Parrots in captivity seem to enjoy video-chatting with their friends on Messenger

[megamouth]

えっ / https://www.sudo.ws/alerts/minus_1_uid.html / sudo -u#-1 でなんでも仕放題とかそういう単純な話ではないので、おちついてください

[homarara]

マジかよ須藤最低だな。

[masakih]

この「の」は限定の「の」です？

[migrant777]

なんでこんな単純な境界値条件のバグが今更出てくるんだよ・・・。/(ALL,!root) のとき「#-1はrootではない」けど「#-1でrootが呼び出せる」から制限回避できちゃうのか。致命的だけど影響は限定的だな。

[uunfo]

sudoersでの制限を無効化できてしまうということか。sudoできないユーザーは対象外。https://www.sudo.ws/alerts/minus_1_uid.html

[rryu]

sudoersで「root以外になれる」みたいな制限を付けていてもrootになれるという脆弱性らしい。

[qtamaki]

uidを任意に設定するのにrootが必要だから、すぐさま危険って訳では無さそうだけど、何かと組み合わせると強力な技が発動しそう

[mkusunok]

シンプルかつ致命的過ぎるバグに愕然

[zu2]

“sudoコマンドのユーザーIDに-1もしくは4294967295を指定すると、誤って0(ゼロ)と認識して処理してしまうというもの。0(ゼロ)はrootのユーザーIDであるため、攻撃者は完全なrootとしてコマンドを実行できることになります”

[augsUK]

こんな影響があって単純なバグがなぜに今まで放置だったのか

[jsstudy]

Potential bypass of Runas user restrictions https://www.sudo.ws/alerts/minus_1_uid.html ブコメにあったページをGoogle翻訳したら「About Sudo」が「須藤について」と翻訳されていた。それはともかくsudoのキャラクター（サンドイッチ）が気になるｗ

[ShionAmasato]

この記事開こうとしたらタグが勝手に閉じたのなんだ…

[wushi]

不安を煽っててよくない。(ALL) が入っている時点でrootにもなれるので、意図しない権限昇格になるのは (ALL,!root) が指定されている時くらいだと本家も書いてる。ただまあ実際に動くのを見るとぎょっとするバグではある

[hateshinaiz]

これパッチ当てる前にsudoersを書き換えられたらいろいろまずいってことやな。だからrootは平時使用禁止令ってこと。

[anoncom]

sudoはroot権限使うために一時昇格コマンドだしrootになれて当然だろうとかそういう当たり前な話じゃなかった。

[deep_one]

「sudoコマンドのユーザーIDに-1もしくは4294967295を指定すると、誤って0(ゼロ)と認識して処理してしまうというもの」

[Haaaa_N]

任意コード実行されてる時点でroot権限とか割とどうでも良いと言えばどうでも良い

[richard_raw]

テストしてなかったんですかね。/doasというコマンドがあるそうな。

[takeishi]

よくこんなのが長年判明しなかったな

[kaputte]

ユーザーIDに-1は今後流行る（流行らない

[koji28]

sudoersのユーザ情報書くところで(as_whom)にALL指定してる時のみみたいだね。誰として実行しても良い、という指定だから、ある程度サーバ管理者側のユーザになるのかな(´・ω・`)

[ANNotunzdY]

UINT_MAX

[twodec]

時代はdoas

[daybeforeyesterday]

うーむ

[rakuteen]

なんやて須藤！

[hagane]

ちゃんと運用しているところには致命的な脆弱性、適当というか大多数というか、rootになるためだけに使ってるところにはあんまり関係の無い脆弱性という感じに見える。

[slash_01]

2年前も権限昇格の脆弱性あったな。 https://www.atmarkit.co.jp/ait/spv/1706/29/news029.html

[airj12]

よく今まで隠れていたな

[stp7]

sudoはsubstitute user doの略。

[nobububu]

いまさら

[onesplat]

(ALL,!root) みたいな指定してる場合のみaffectedらしい。まぁそこまで影響が広くはないだろう

[yoshis1210]

とりあえず!rootの設定が無ければ影響ないっぽいしほとんどのサーバで影響ないでしょ。

[neo_Neutral]

え、sudoでしょ。（すっとぼけ

[ghostbass]

phpmyadminに任意のsqlを実行できる脆弱性、とかと同類か

[okamotoy]

　境界条件！！

[sotokichi]

怖い。

[issyurn]

オーバーフロー

[elwoodblues]

おちついてください、とのコメントもあるけど、とりあえずアップデートしとこ

[naglfar]

すぐどうこうなるものではないけどドキッとした。