Het Amerikaanse cyberagentschap CISA waarschuwt voor actief misbruik van een kritieke kwetsbaarheid in Sudo. Via het beveiligingslek (CVE-2025-32463) kunnen lokale gebruikers rootrechten krijgen. In juni verschenen beveiligingsupdates voor het probleem en werden ook technische details van het probleem openbaar gemaakt.

Sudo maakt het mogelijk om programma's uit te voeren met de rechten van een andere gebruiker. Het wordt vaak gebruikt om het "least privilege model" te implementeren door beheerderstaken te delegeren die verhoogde rechten vereisen, zonder dat daarbij het rootwachtwoord moet worden gedeeld. Daarnaast creëert het ook een auditspoor in de systeemlogs.

Onderzoekers ontdekten dat het mogelijk is om Sudo een bepaald bestand (nsswitch.conf) uit een door een gebruiker gecontroleerde directory te laten gebruiken. "Het probleem ontstaat door een ongeprivilegieerde gebruiker toe te staan om chroot() aan te roepen op een schrijfbaar, onbetrouwbaar path onder hun controle. Sudo roept chroot() verschillende keren aan, ongeacht of de gebruiker een betreffende Sudo rule heeft geconfigureerd", aldus de onderzoekers.

Het nsswitch.conf bestand bevat instructies voor het systeem hoe het informatie over gebruikers, groepen en hosts moet ophalen. Er zijn verschillende sources op te geven en de volgorde voor het doorzoeken, totdat er een match is. "Wat misschien niet meteen duidelijk is bij het lezen van het nsswitch.conf bestand is dat de naam van de source ook wordt gebruikt als het path voor een gedeeld object (library)", laten de onderzoekers verder weten. "Vanwege dit gedrag kan elke lokale gebruiker Sudo misleiden om een willekeurig gedeeld object te laden dat tot het uitvoeren van willekeurige code als root leidt."

De MITRE Corporation beoordeelt de impact van de kwetsbaarheid op een schaal van 1 tot en met 10 met een 9.3. Het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security houdt een lijst van actief aangevallen kwetsbaarheden bij. Gisteren werd Sudo-kwetsbaarheid CVE-2025-32463 aan deze lijst toegevoegd. Verdere details over de waargenomen aanvallen zijn niet gegeven. Wel moeten Amerikaanse overheidsinstanties die van Sudo gebruikmaken de beveiligingsupdate voor 20 oktober hebben geïnstalleerd. Drie jaar geleden waarschuwde het CISA voor actief misbruik van een andere Sudo-kwetsbaarheid (CVE-2021-3156).