sudo权限提升漏洞(CVE-2025-32462)

公开poc

暂未发现公开POC相关描述： https://packetstorm.news/files/id/204313/

漏洞排查

审查Sudo日志，日志位置可能在如下位置Debian/Ubuntu: /var/log/auth.logRHEL/CentOS/Fedora: /var/log/secureFreeBSD: /var/log/security使用 grep 或类似的工具在日志文件中搜索包含 -h 或 --host 的Sudo执行记录，可疑的执行记录形如：Jan 23 10:52:05 hades sudo[1234]: alice : TTY=pts/0 ; PWD=/home/alice ; USER=root ; COMMAND=/usr/bin/id -h cerebus

漏洞分析

漏洞的关键在于Sudo的 -h (或 --host) 选项被滥用，-h 选项的初衷是让用户可以在一台机器上查询自己在另一台机器上的Sudo权限。它本应只和 -l (列出权限) 选项一起使用。例如，用户 alice 在机器 hades 上，想查看她在机器 cerebus 上能执行哪些命令，她可以运行 sudo -l -h cerebus。漏洞问题在于，-h 选项不仅可以和 -l 一起用，还可以和实际的命令一起使用。当用户这样做时，Sudo会错误地使用用户通过 -h 指定的主机名来匹配 sudoers 配置文件中的规则，而不是使用当前机器的实际主机名。

漏洞利用场景主要影响那些在多台机器上使用同一份 sudoers 文件的系统管理员。这种情况在大型网络中非常普遍，管理员会维护一个中央 sudoers 文件（或通过LDAP分发），里面包含了针对不同主机、不同用户的权限规则。例如：用户bob只能在db_server上重启数据库：bob db_server = /usr/sbin/restart_mysql而用户alice只能在web_server上重启网页服务：alice web_server = /usr/sbin/restart_apache

利用该漏洞，bob 可以在 web_server 上执行重启数据库的命令，而 alice 也可以在 db_server 上执行重启网页服务的命令，造成权限混乱。

影响范围

影响产品版本

1.Todd Miller > Sudo1.8.8<=version<=1.9.17版本范围受影响。

影响的系统组件

SUSE | suse:linux enterprise high performance computing 15 sp3-ltss1.sudoversion<1.9.5p2-150300.3.36.1版本范围受影响。SUSE | suse:linux enterprise server 15 sp3-ltss1.sudoversion<1.9.5p2-150300.3.36.1版本范围受影响。SUSE | suse:linux enterprise server for sap applications 15 sp31.sudoversion<1.9.5p2-150300.3.36.1版本范围受影响。SUSE | suse:linux enterprise micro 5.11.sudoversion<1.9.5p2-150300.3.36.1版本范围受影响。SUSE | suse:linux enterprise micro 5.21.sudoversion<1.9.5p2-150300.3.36.1版本范围受影响。SUSE | suse:enterprise storage 7.11.sudoversion<1.9.5p2-150300.3.36.1版本范围受影响。SUSE | suse:linux enterprise module for basesystem 15 sp61.sudoversion<1.9.15p5-150600.3.9.1版本范围受影响。SUSE | suse:linux enterprise module for basesystem 15 sp71.sudoversion<1.9.15p5-150600.3.9.1版本范围受影响。SUSE | suse:linux enterprise micro 5.51.sudoversion<1.9.12p1-150500.7.13.1版本范围受影响。SUSE | suse:linux enterprise high performance computing 15 sp5-espos1.sudoversion<1.9.12p1-150500.7.13.1版本范围受影响。SUSE | suse:linux enterprise high performance computing 15 sp5-ltss1.sudoversion<1.9.12p1-150500.7.13.1版本范围受影响。SUSE | suse:linux enterprise server 15 sp5-ltss1.sudoversion<1.9.12p1-150500.7.13.1版本范围受影响。SUSE | suse:linux enterprise server for sap applications 15 sp51.sudoversion<1.9.12p1-150500.7.13.1版本范围受影响。SUSE | suse:linux enterprise micro 5.31.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:linux enterprise micro 5.41.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:linux enterprise high performance computing 15 sp4-espos1.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:linux enterprise high performance computing 15 sp4-ltss1.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:linux enterprise server 15 sp4-ltss1.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:linux enterprise server for sap applications 15 sp41.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:manager proxy 4.31.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:manager server 4.31.sudoversion<1.9.9-150400.4.39.1版本范围受影响。SUSE | suse:linux enterprise server 12 sp5-ltss1.sudoversion<1.8.27-4.54.1版本范围受影响。SUSE | suse:linux enterprise server ltss extended security 12 sp51.sudoversion<1.8.27-4.54.1版本范围受影响。Ubuntu | ubuntu:22.04:lts1.sudoversion<1.9.9-1ubuntu2.5版本范围受影响。Ubuntu | ubuntu:24.101.sudoversion<1.9.15p5-3ubuntu5.24.10.1版本范围受影响。Ubuntu | ubuntu:24.04:lts1.sudoversion<1.9.15p5-3ubuntu5.24.04.1版本范围受影响。Ubuntu | ubuntu:25.041.sudoversion<1.9.16p2-1ubuntu1.1版本范围受影响。Debian | debian:111.sudoversion<1.9.5p2-3+deb11u2版本范围受影响。Debian | debian:121.sudoversion<1.9.13p3-1+deb12u2版本范围受影响。Debian | debian:131.sudoUbuntu | ubuntu:pro:14.04:lts1.sudoversion<1.8.9p5-1ubuntu1.5+esm8版本范围受影响。Ubuntu | ubuntu:pro:16.04:lts1.sudoversion<1.8.16-0ubuntu1.10+esm3版本范围受影响。Ubuntu | ubuntu:pro:18.04:lts1.sudoversion<1.8.21p2-3ubuntu1.6+esm1版本范围受影响。Ubuntu | ubuntu:pro:20.04:lts1.sudoversion<1.8.31-1ubuntu1.5+esm1版本范围受影响。

修复方案与缓解措施

官方修复方案方案1:目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://www.sudo.ws/

方案2:厂商已发布漏洞通告，请升级至1.9.17p1