1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
|
#use wml::debian::translation-check translation="94c7ab265147cf1eeb6bea2f39e54bce51c20831" mindelta="1"
<define-tag description>städar inte indata</define-tag>
<define-tag moreinfo>
<p>
Den tidigare uppdateringen till sårbarheterna i sudo-paketet fungerade väl,
men var för strikta för vissa miljöer.
Därför har vi ännu en gång sett över ändringarna och tillåtit vissa
miljövariabler att kopieras in i den privilegierade exekveringsmiljön.
Därav denna uppdatering.
</p>
<p>
Konfigurationsalternativete "env_reset" aktiveras nu som standard.
Den behåller endast miljövariablerna HOME, LOGNAME, PATH,
SHELL, TERM, DISPLAY, XAUTHORITY, XAUTHORIZATION, LANG, LANGUAGE,
LC_* och USER i tllägg till de separata SUDO_*-variablerna.
</p>
<p>
Texten från originalbulletinen följer nedan:
</p>
<blockquote>
<p>
Det har upptäckts att sudo, ett program som ger begränsad
superanvändarbehörighet till specifika användare, sänder flera
miljövariabler till program som kör med utökade privilegier.
När det gäller inkluderingssökvägar (t.ex för Perl, Python, Ruby och andra
skriptspråk) kan detta leda till att godtycklig kod utförs som en
privilegierad användare om angriparen pekar mot en manipulerad version av
ett systembibliotek.
</p>
<p>
Denna uppdatering ändrar det tidigare beteendet i sudo och begränsar de
stödda miljövariablerna till LC_*, LANG, LANGUAGE och TERM.
Ytterligare variabler sänds endast genom när de satts med env_check i
/etc/sudoers, vilket kan krävas för att vissa skript skall fortsätta att
fungera.
</p>
</blockquote>
<p>
För den gamla stabila utgåvan (Woody) har detta problem rättats i version
1.6.6-1.6.
</p>
<p>
För den stabila utgåvan (Sarge) har detta problem rättats i version
1.6.8p7-1.4.
</p>
<p>
För den instabila utgåvan (Sid) kommer samma beteende tas i bruk inom
kort.
</p>
<p>
Vi rekommenderar att ni uppgraderar ert sudo-paket.
För den instabila utgåvan måste ”Defaults = env_reset” manuellt
läggas till i /etc/sudoers.
</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-946.data"
|
