Mặc dù lỗ hổng này đã tồn tại trong một thời gian dài, cụ thể là một thập kỷ, nhưng bây giờ người ta đã phát hiện ra rằng việc sử dụng nó có thể dẫn đến những thiệt hại đáng kể. Các nhà nghiên cứu bảo mật đã tiết lộ một cách khai thác có thể ảnh hưởng đến Hệ điều hành dựa trên Unix, bao gồm macOS Big Sur và các phiên bản trước đó. Lỗ hổng sudo này trong macOS có thể cấp quyền root cho người dùng cục bộ.
Có thể xác nhận với macOS Big Sur trên cả x86_64 và aarch64. pic.twitter.com/nQqQ8rskv7
- Will Dormann (@wdormann) 2 Tháng hai, 2021
Vào tháng 10, các nhà nghiên cứu bảo mật đã tiết lộ một lỗ hổng mới có thể ảnh hưởng đến các hệ điều hành dựa trên Unix. Việc khai thác đã tồn tại ít nhất XNUMX năm, tuy nhiên đây là tài liệu đầu tiên được biết đến về nó. Nó được xác định là CVE-2021-3156, Tràn bộ đệm dựa trên Sudo. Khai thác trông tương tự như một lỗi trước đó bản vá có tên CVE-2019-18634. Các nhà nghiên cứu từ Chất lượng đã xác định lỗi trong Ubuntu 20.04 (Sudo 1.8.31), Debian 10 (Sudo 1.8.27) và Fedora 33 (Sudo 1.9.2). Họ nói rằng nó có thể ảnh hưởng đến các hệ điều hành và bản phân phối khác chạy phiên bản Sudo bị ảnh hưởng. Tất cả các phiên bản kế thừa 1.8.2 đến 1.8.31p2 và tất cả các phiên bản ổn định 1.9.0 đến 1.9.5p1 đều bị ảnh hưởng.
Đúng. Chúng ta có thể bình tĩnh một chút, vì theo các nhà nghiên cứu, người dùng sẽ cần quyền truy cập vào máy tính để chạy khai thác. Nhà nghiên cứu bảo mật Matthew Hickey, Đồng sáng lập của Hacker House đã nhận xét trên ZDNet, tiết lộ vào thứ tư rằng lỗi cũng có thể được khai thác trên Mac.
Để kích hoạt nó, bạn chỉ cần ghi đè argv [0] hoặc tạo một liên kết tượng trưng, do đó để lộ hệ điều hành với cùng một lỗ hổng root cục bộ đã ảnh hưởng đến người dùng Linux trong tuần trước.
https://twitter.com/hackerfantastic/status/1356645638151303169?s=20
Apple sẽ ra mắt cập nhật bảo mật với bản vá bất kỳ lúc nào, nhưng người dùng có thể hành động sớm hơn nếu chúng tôi thấy cần thiết. Tất nhiên, sau khi thanh toán Qualys, công ty cung cấp một chương trình giải thích cách vá lỗ hổng. Chúng tôi không tin rằng điều này là cần thiết, nhưng cũng không phải là không cần thiết.
