Los investigadores de ciberseguridad de Stratascale han revelado dos vulnerabilidades críticas en la utilidad sudo que comprometen la seguridad de sistemas Unix y Linux. Estas fallas permiten a atacantes locales obtener privilegios de administrador, siendo particularmente preocupante que una de estas vulnerabilidades permaneció oculta durante más de una década sin ser detectada por la comunidad de desarrolladores.
Análisis de las Vulnerabilidades Identificadas
La primera vulnerabilidad, catalogada como CVE-2025-32462, recibió una puntuación de 2.8 en la escala CVSS y afecta todas las versiones de sudo anteriores a la 1.9.17p1. Esta falla se origina en el uso de archivos sudoers con especificaciones de host que no corresponden al sistema actual ni al valor ALL. La vulnerabilidad está directamente relacionada con la opción -h (host), implementada en septiembre de 2013 para enumerar privilegios sudo de usuarios en hosts remotos.
El aspecto más crítico de esta vulnerabilidad radica en que la opción -h funcionaba no solo con el comando list (-l), sino también durante la ejecución de comandos. Esto permitía a los atacantes ejecutar cualquier comando autorizado en un host remoto directamente en el sistema local, representando una amenaza significativa para organizaciones que utilizan archivos sudoers compartidos o sistemas basados en LDAP.
Vulnerabilidad Crítica CVE-2025-32463
La segunda vulnerabilidad, CVE-2025-32463, presenta una puntuación crítica de 9.3 en CVSS y constituye una amenaza de seguridad severa. Esta falla está asociada con el uso de la opción sudo -R (chroot) y permite a cualquier usuario local sin privilegios elevar sus permisos al nivel de root.
El mecanismo de explotación se basa en engañar a sudo para cargar bibliotecas compartidas arbitrarias. Los atacantes pueden crear un archivo de configuración /etc/nsswitch.conf en el directorio raíz especificado por el usuario, lo que resulta en la ejecución de código malicioso con privilegios elevados.
Características de la Configuración Vulnerable
Según la investigación de Stratascale, la configuración predeterminada de sudo es vulnerable. La explotación de esta vulnerabilidad no requiere reglas específicas en el archivo sudoers para usuarios particulares, lo que significa que potencialmente cualquier sistema con sudo instalado puede ser susceptible a ataques.
Medidas de Mitigación y Soluciones
Todd Miller, mantenedor de sudo, confirmó la gravedad de los problemas identificados y adoptó medidas drásticas para su resolución. La opción chroot será completamente eliminada de futuras versiones de sudo, ya que el soporte para directorios raíz especificados por el usuario se considera potencialmente peligroso.
La información sobre estas vulnerabilidades fue divulgada el 1 de abril de 2025, tras lo cual los problemas fueron rápidamente corregidos en la versión Sudo 1.9.17p1, lanzada a finales de marzo. Los desarrolladores de diversas distribuciones Linux han emitido boletines de seguridad correspondientes, considerando que sudo es un componente integral de la mayoría de sistemas tipo Unix.
Recomendaciones de Seguridad
Para minimizar los riesgos, los administradores de sistemas deben actualizar inmediatamente sudo a la versión 1.9.17p1 o posterior. Se debe prestar especial atención a sistemas que utilizan archivos sudoers compartidos o configuraciones basadas en LDAP, incluyendo SSSD.
Este incidente subraya la importancia de realizar auditorías regulares de seguridad en componentes críticos del sistema y la necesidad de aplicar actualizaciones de seguridad oportunamente. El hecho de que una vulnerabilidad existiera durante más de diez años demuestra la complejidad de detectar amenazas ocultas en software ampliamente utilizado, destacando el valor de las investigaciones independientes de seguridad para mantener la integridad de los sistemas informáticos.
