1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
|
<define-tag description>Fehlende Entschärfung der Eingabe</define-tag>
<define-tag moreinfo>
<p>Die vorherige Korrektur der Verwundbarkeiten im sudo-Paket funktionierte
gut, war aber unter bestimmten Bedingungen zu streng. Daher haben wir die
Änderungen nochmal einer Prüfung unterzogen und erlauben nun einigen
Umgebungsvariablen, in die privilegierte Ausführungsumgebung aufgenommen
zu werden. Deswegen diese Aktualisierung.</p>
<p>Die Konfigurationsoption <q>env_reset</q> ist nun standardmäßig aktiviert.
Zusätzlich zu den separaten Variablen SUDO_* werden nur die Umgebungsvariablen
HOME, LOGNAME, PATH, SHELL, TERM, DISPLAY, XAUTHORITY, XAUTHORIZATION, LANG,
LANGUAGE, LC_* und USER erhalten.</p>
<p>Der Vollständigkeit halber finden Sie unten den Text des ursprünglichen
Gutachtens:</p>
<blockquote>
<p>Es wurde entdeckt, dass sudo, ein privilegiertes Programm, das
bestimmten Benutzern begrenzte Administratorrechte bereitstellt,
mehrere Umgebungsvariablen an das Programm weitergibt, welches mit
erhöhten Rechten ausgeführt wird. Im Falle von <q>include</q>-Pfaden
(z.B. für Perl, Python, Ruby und anderen Skriptsprachen) kann dies
die Ausführung von beliebigem Code als privilegierter Benutzer
zur Folge haben, wenn der Angreifer auf eine manipulierte Version
einer Systembibliothek verweist.</p>
<p>Diese Aktualisierung verändert das frühere Verhalten von sudo
und begrenzt die Anzahl an unterstützten Umgebungsvariablen auf
LC_*, LANG, LANGUAGE und TERM. Zusätzliche Variablen werden nur
dann weitergereicht, wenn sie als <q>env_check</q> in der Datei
/etc/sudoers markiert sind. Dies kann für einige Skripte notwendig
sein, damit diese weiterhin funktionieren.</p>
</blockquote>
<p>Für die alte Stable-Distribution (Woody) wurde dieses Problem in
Version 1.6.6-1.6 behoben.</p>
<p>Für die Stable-Distribution (Sarge) wurde dieses Problem in
Version 1.6.8p7-1.4 behoben.</p>
<p>Für die Unstable-Distribution (Sid) wird das selbe Verhalten bald
implementiert werden.</p>
<p>Wir empfehlen Ihnen, Ihr sudo-Paket zu aktualisieren. Für Unstable
muss die Zeile <q>Defaults = env_reset</q> zur Datei /etc/sudoers manuell
hinzugefügt werden.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-946.data"
#use wml::debian::translation-check translation="94c7ab265147cf1eeb6bea2f39e54bce51c20831" mindelta="1"
# $Id$
|
