Debian DLA-160-1：sudo 安全性更新

low Nessus Plugin ID 82144

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

此更新可修正下列 CVE。

CVE-2014-0106

Todd C. Miller 報告，如果將 sudoers 檔案中的 env_reset 選項停用，則會將 env_delete 選項不當套用至命令行上指定的環境變數。具有 sudo 權限的惡意使用者可操控合法允許使用者執行的命令環境，藉此以提升的權限執行任意命令。

CVE-2014-9680

Jakub Wilk 報告，sudo 會保留使用者環境的 TZ 變數而未做任何清理。具有 sudo 存取權的使用者可趁機惡意利用 C 程式庫中剖析 TZ 環境變數的函式錯誤，或是開啟使用者原本無法開啟的檔案。後者可能在讀取某些裝置特殊檔案時造成系統行為的改變，或是造成透過 sudo 的程式執行被阻止。

針對舊的穩定發行版本 (squeeze)，這些問題已在 1.7.4p4-2.squeeze.5 版中修正。

針對穩定的發行版本 (wheezy)，這些問題已在 1.8.5p2-1+nmu2 版中修正。

建議您升級 sudo 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。