CVE-2023-22809：Sudo权限提升漏洞通告

更新日期：2023-03-30

1
漏洞简述

2023年03月30日，监测发现sudo发布了sudo的风险通告，漏洞编号为CVE-2023-22809，漏洞等级：高危，漏洞评分：7.8。

Linux 中的 Sudo命令可以以系统管理者的身份执行指令。

对此，360CERT建议广大用户及时请做好资产自查以及预防工作，以免遭受黑客攻击。

2
风险等级

该漏洞的评定结果如下

评定方式	等级
威胁等级	高危
影响面	广泛
攻击者价值	高
利用难度	低
评分	7.8

3
漏洞详情
CVE-2023-22809 用户权限提升漏洞
组件: sudo:sudo

漏洞类型: 错误配置, 程序逻辑错误

实际影响: 用户权限提升

主要影响: 服务器接管, 权限提升

简述: 该漏洞存在于Sudo版本1.8.0 - 1.9.12p1中，是一个权限提升漏洞。Sudo 的 -e 功能（又名sudoedit）功能对用户提供的环境变量（SUDO_EDITOR、VISUAL和EDITOR）中传递的额外参数处理不当，具有sudoedit访问权限的本地用户可以通过设置精心构造的环境变量组合来触发该漏洞，实现以错误配置的sudoedit的提升到的用户相同的权限来编辑任意文件。

4
影响版本
CVE-2023-22809

组件	影响版本	安全版本
sudo:sudo	1.8.0-1.9.12p1	1.9.12p2

5
修复建议
通用修补建议
根据影响版本中的信息，排查并升级到安全版本，或直接访问参考链接获取官方更新指南。