Linux Sudo 本地提权漏洞(CVE-2021-3156) 修复

漏洞描述

国外研究团队发现sudo堆溢出漏洞（CVE-2021-3156），漏洞隐藏十年之久，普通用户可以通过利用此漏洞，在默认配置的 sudo 主机上获取root权限。 Sudo是一个功能强大的实用程序，大多数基于Unix和Linux的操作系统都包含Sudo。 成功利用此漏洞，任何没有特权的用户都可以在易受攻击的主机上获得root特权。

漏洞检测

用户可以使用非root的账户登录系统，运行“ sudoedit -s / ”命令。

若返回以“ sudoedit：”开头的错误，则当前系统可能存在安全风险。
不受影响的系统将显示以“ usage：”开头的错误响应。

升级建议

sudo =>1.9.5p2

下载各系统安装包

系统	下载地址
CentOS 5	https://github.com/sudo-project/sudo/releases/download/SUDO_1_9_5p2/sudo-1.9.5-3.el5.x86_64.rpm
CentOS 6	https://github.com/sudo-project/sudo/releases/download/SUDO_1_9_5p2/sudo-1.9.5-3.el6.x86_64.rpm
CentOS 7	https://github.com/sudo-project/sudo/releases/download/SUDO_1_9_5p2/sudo-1.9.5-3.el7.x86_64.rpm
Ubuntu 16.04	https://github.com/sudo-project/sudo/releases/download/SUDO_1_9_5p2/sudo_1.9.5-3_ubu1604_amd64.deb
Ubuntu 18.04	https://github.com/sudo-project/sudo/releases/download/SUDO_1_9_5p2/sudo-ldap_1.9.5-3_ubu1804_amd64.deb
ubuntu 20.04	https://github.com/sudo-project/sudo/releases/download/SUDO_1_9_5p2/sudo_1.9.5-3_ubu2004_amd64.deb
其他看官网	https://www.sudo.ws/download.html

CentOS使用 ansible 批量升级sudo版本

操作系统	内核	版本
CentOS Linux release 7.7.1908 (Core)	3.10.0-1062.el7.x86_64	sudo-1.8.23-4.el7

1. 配置ansible

vim /etc/ansible/hosts
## 添加要操作的服务器ip

[sudo]
192.168.31.121
192.168.31.122

2. 复制文件到其他服务器上

ansible web -m copy -a 'src=~/sudo-1.9.5-3.el7.x86_64.rpm dest=/usr/local/src'

3. 批量安装rpm包

ansible web -m command -a 'chdir=/usr/local/src/ rpm -ivh sudo-1.9.5-3.el7.x86_64.rpm --force --nodeps'

4. 测试

sudo -V

放在最后

建议修复漏洞之前做好镜像备份，避免出现问题无法复原