CVE-2021-3156：Sudo 堆缓冲区溢出漏洞通告

报告编号：B6-2021-012701

报告来源：360CERT

报告作者：360CERT

更新日期：2021-01-27

0x01漏洞简述

2021年01月27日，360CERT监测发现RedHat发布了sudo 缓冲区/栈溢出漏洞的风险通告，该漏洞编号为CVE-2021-3156，漏洞等级：高危，漏洞评分：7.0。

攻击者在取得服务器基础权限的情况下，可以利用sudo基于堆的缓冲区溢出漏洞，获得root权限。

目前debain已经修复该漏洞，centos依然受到影响

对此，360CERT建议广大用户及时将sudo升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02风险等级

360CERT对该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛
360CERT评分	7.0

0x03漏洞详情

CVE-2021-3156: 缓冲区溢出漏洞

在sudo解析命令行参数的方式中发现了基于堆的缓冲区溢出。任何本地用户（普通用户和系统用户，sudoer和非sudoers）都可以利用此漏洞，而无需进行身份验证，攻击者不需要知道用户的密码。成功利用此漏洞可以获得root权限。

用户可以使用如下方法进行自查：

以非root用户登录系统，并使用命令sudoedit -s /

- 如果响应一个以sudoedit:开头的报错，那么表明存在漏洞。

- 如果响应一个以usage:开头的报错，那么表明补丁已经生效。

0x04影响版本

- sudo:sudo: 1.8.2 - 1.8.31p2

- sudo:sudo: 1.9.0 - 1.9.5p1

0x05修复建议

通用修补建议

下载升级sudo软件包，下载链接为：

sudo软件包下载地址

https://www.sudo.ws/dist/

临时修补建议

对于无法立即更新的用户，建议使用systemtap进行以下临时缓解：

1. 安装所需的systemtap软件包和依赖项：

systemtap yum-utils kernel-devel-"$(uname -r)"

对于RHEL 7，使用命令安装 kernel debuginfo：debuginfo-install -y kernel-"$(uname -r)"。对于RHEL 8，使用命令安装 sudo debuginfo：debuginfo-install sudo。

2. 创建以下systemtap脚本（将文件命名为sudoedit-block.stap）:

probe process("/usr/bin/sudo").function("main") {
        command = cmdline_args(0,0,"");
        if (strpos(command, "edit") >= 0) {
                raise(9);
        }
}

3. 使用以下命令安装脚本：（使用root权限）

# nohup stap -g sudoedit-block.stap &

该脚本将使得易受攻击的sudoedit二进制文件停止工作。sudo命令仍将照常工作。上述更改在重启后失效，必须在每次重启后重新应用。

4. 一旦安装了补丁程序，就可以通过取消systemtap进程来删除systemtap脚本。例如，通过使用：

# kill -s SIGTERM 7590 (其中7590是systemtap进程的PID)

0x06时间线

2021-01-27  RedHat官方发布通告

2021-01-27  360CERT发布通告

0x07参考链接

1、 RedHat官方通告

https://access.redhat.com/security/cve/CVE-2021-3156

2、 CVE-2021-3156: Heap-Based Buffer Overflow in Sudo (Baron Samedit)

https://blog.qualys.com/vulnerabilities-research/2021/01/26/cve-2021-3156-heap-based-buffer-overflow-in-sudo-baron-samedit

0x08特制报告下载链接

一直以来，360CERT对全球重要网络安全事件进行快速通报、应急响应。为更好地为政企用户提供最新漏洞以及信息安全事件的安全通告服务，现360CERT正式推出安全通告特制版报告，以便用户做资料留存、传阅研究与查询验证。用户可直接通过以下链接进行特制报告的下载。

CVE-2021-3156：Sudo 堆缓冲区溢出漏洞通告

http://pub-shbt.s3.360.cn/cert-public-file/【360CERT】CVE-2021-3156_Sudo_堆缓冲区溢出漏洞通告.pdf

若有订阅意向与定制需求请扫描下方二维码进行信息填写，或发送邮件至g-cert-report#360.cn ，并附上您的 公司名、姓名、手机号、地区、邮箱地址。

推荐阅读：

1、SonicWall SSL-VPN 远程命令执行漏洞通告

2、安全事件周报 (01.18-01.24)

3、安全运营周刊第二十四期

长按下方二维码关注360CERT！谢谢你的关注！

注：360CERT官方网站提供 《CVE-2021-3156：Sudo 堆缓冲区溢出漏洞通告》 完整详情，点击阅读原文

本文始发于微信公众号（三六零CERT）：CVE-2021-3156：Sudo 堆缓冲区溢出漏洞通告