sudo脆弱性に関する注意喚起(CVE-2021-3156)

先日sudoコマンドの脆弱性(CVE-2021-3156)が報告されました。
JPCERTからも注意喚起が行われ、今後、実証コードなどが公開され権限昇格に悪用される可能性が指摘されております。

sudo のバージョンが 1.8.2 から 1.8.31p2 の間、または 1.9.0 から 1.9.5p1 の間で影響のある可能性があります。
各ディストリビューションにおける対象バージョンは、ディストリビュータの情報をご参照ください。

また、以下のコマンドで影響を受けるか確認することもできるようです。(*)

sudoedit -s /

上記コマンドの実行結果において
"sudoedit:"から始まるエラーが表示されると脆弱性の影響あり
"usage:"から始まるエラーが表示されると影響なし

(*)ディストリビューションや実行する環境により挙動が異なる可能性があり、
詳細は各ディストリビューションなどの情報をご参照ください。

三和コムテックではSCT SECUREをはじめとしたさまざまな脆弱性診断サービスを提供しています。
OSの認証情報をセットした内部ネットワークからの診断を行うことも可能です。
お気軽にお問い合わせください。

Webセキュリティ診断のご紹介ページはこちら

この記事の執筆・監修者

岡山大

三和コムテック株式会社
セキュリティソリューションプロダクトマネージャー OEMメーカーの海外営業として１０年間勤務の後、2001年三和コムテックに入社。
新規事業（WEBセキュリティビジネス）のきっかけとなる、自動脆弱性診断サービスを立ち上げ（2004年）から一環して、営業・企画面にて参画。 2009年に他の３社と中心になり、たち上げたJCDSC（日本カードセキュリティ協議会 / 会員企業422社）にて運営委員（現在,運営委員長）として活動。PCIDSSや非保持に関するソリューションやベンダー、また関連の審査やコンサル、などの情報に明るく、要件に応じて、弊社コンサルティングサービスにも参加。2021年4月より、業界誌（月刊消費者信用）にてコラム「セキュリティ考現学」を寄稿中。

→ 岡山大の他の記事を読む