蘋果macOS Sudo現(xiàn)重大漏洞：可為任意本地用戶授予root權(quán)限
Sudo 工具中存在十年之久的漏洞，可能會(huì)授予任意本地用戶對(duì)基于 Unix 的系統(tǒng)（包括 macOS Big Sur 和早期版本）進(jìn)行根訪問。
今年 1 月份，安全研究人員披露了一個(gè)新漏洞，該漏洞可能會(huì)影響基于 Unix 的操作系統(tǒng)。該漏洞被標(biāo)識(shí)為 CVE-2021-3156，這是 Sudo 中基于堆的緩沖區(qū)溢出，該漏洞類似于以前修補(bǔ)的名為 CVE-2019-18634 的漏洞，可通過非法操作為任意本地用戶授予 root 權(quán)限。用戶要觸發(fā)它，只需要重寫 argv［0］或者創(chuàng)建一個(gè)符號(hào)鏈接。
IT之家了解到，Qualys 的研究人員在 Ubuntu 20.04（Sudo 1.8.31）、Debian 10（Sudo 1.8.27）和 Fedora 33（Sudo 1.9.2）中都發(fā)現(xiàn)了該漏洞。他們表示，從 1.8.2 到 1.8.31p2 的所有舊版以及從 1.9.0 到 1.9.5p1 的所有穩(wěn)定版均會(huì)受到該漏洞影響。
研究人員指出，該漏洞只能通過本地訪問來利用，不過它已經(jīng)存在了至少 10 年，但這是該漏洞的第一個(gè)已知文檔。
最初，研究人員尚不清楚 macOS 中是否存在該漏洞，但安全研究人員 Matthew Hickey 在周三透露，該漏洞也出現(xiàn)在了 Mac 電腦上。
該漏洞目前還沒有被修補(bǔ)，蘋果在收到研究人員反饋后表示正在調(diào)查，但拒絕發(fā)表評(píng)論。
責(zé)任編輯：haq
聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問題，請(qǐng)聯(lián)系本站處理。
舉報(bào)投訴
-
蘋果
+關(guān)注
關(guān)注
61文章
24608瀏覽量
208721 -
操作系統(tǒng)
+關(guān)注
關(guān)注
37文章
7431瀏覽量
129593 -
Mac
+關(guān)注
關(guān)注
0文章
1130瀏覽量
55531
發(fā)布評(píng)論請(qǐng)先 登錄
相關(guān)推薦
熱點(diǎn)推薦
一文搞懂Linux權(quán)限體系
Linux權(quán)限體系是運(yùn)維工作的基礎(chǔ)中的基礎(chǔ)。無論你管理的是單機(jī)還是集群，權(quán)限問題導(dǎo)致的故障占總故障量的相當(dāng)比例。本文從一線運(yùn)維視角出發(fā)，系統(tǒng)講解Linux權(quán)限模型的核心概念、常見場景、排障方法以及安全最佳實(shí)踐。閱讀本文后，你應(yīng)該
分析嵌入式軟件代碼的漏洞-代碼注入
隨著互聯(lián)網(wǎng)的發(fā)展，嵌入式設(shè)備正分布在一個(gè)充滿可以被攻擊者利用的源代碼級(jí)安全漏洞的環(huán)境中。
因此，嵌入式軟件開發(fā)人員應(yīng)該了解不同類型的安全漏洞——特別是代碼注入。
術(shù)語“代碼注入”意味著對(duì)程序的常規(guī)
發(fā)表于 12-22 12:53
飛凌嵌入式ElfBoard-獲取文件的狀態(tài)信息之文件屬主
+0800這里執(zhí)行了兩次，第一次沒有加sudo權(quán)限，可以看到有效用戶ID和有效組ID是1000，增加sudo權(quán)限后，有效
發(fā)表于 12-15 09:00
電能質(zhì)量在線監(jiān)測裝置支持多賬號(hào)權(quán)限管理嗎？
采用此模式，將用戶分為不同角色，每個(gè)角色對(duì)應(yīng)固定權(quán)限 分級(jí)授權(quán)機(jī)制 ：從三個(gè)維度管控權(quán)限 管控維度 說明 操作權(quán)限 查看權(quán)、配置權(quán)、審批權(quán)、刪除權(quán)等 可訪問節(jié)點(diǎn) 限定
行業(yè)觀察 | 微軟發(fā)布高危漏洞更新，涉及 Windows、Office、SQL Server 等多款產(chǎn)品
漏洞被評(píng)級(jí)為“嚴(yán)重”。企業(yè)應(yīng)優(yōu)先部署Windows10/11累積更新和SQLServer相關(guān)補(bǔ)丁，并檢查SMB設(shè)置。漏洞類型分布-41個(gè)權(quán)限提升漏洞-22個(gè)遠(yuǎn)程代碼
行業(yè)觀察 | Azure、RDP、NTLM 均現(xiàn)高危漏洞，微軟發(fā)布2025年8月安全更新
-CVE-2025-53779：WindowsKerberos漏洞，允許攻擊者將權(quán)限提升至域管理員。?13個(gè)嚴(yán)重漏洞：-9個(gè)遠(yuǎn)程代碼執(zhí)行漏洞-3個(gè)信息泄露
品英Pickering 助力用戶在未來汽車測試中處于領(lǐng)先地位
展示面向汽車電子的高性能模塊化信號(hào)開關(guān)、信號(hào)仿真儀器和繼電器，幫助本地用戶塑造未來汽車測試和下一代汽車安全部署，確?？蛻粼诳焖侔l(fā)展的汽車行業(yè)中占有一席之地。
發(fā)表于 08-22 14:19
?795次閱讀
【VisionFive 2單板計(jì)算機(jī)試用體驗(yàn)】6. 日歷相冊開機(jī)自啟動(dòng)設(shè)置
創(chuàng)建init
創(chuàng)建init.sh文件，并設(shè)置權(quán)限為root
sudo chown root init.sh
sudo chgrp
發(fā)表于 08-14 22:04
行業(yè)觀察 | VMware ESXi 服務(wù)器暴露高危漏洞，中國1700余臺(tái)面臨勒索軟件威脅
8.x版本，允許未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者在虛擬環(huán)境中執(zhí)行任意代碼、提升權(quán)限或傳播勒索軟件等。更令人擔(dān)憂的是，該漏洞利用難度極低，且相關(guān)利用代碼據(jù)信已在7月底于地下論壇
技術(shù)文章 | Ubuntu權(quán)限管理攻略
將從基礎(chǔ)原理到實(shí)戰(zhàn)操作，全面解析Ubuntu權(quán)限管理的核心知識(shí)。一、權(quán)限管理三角：用戶、組與權(quán)限Ubuntu采用多用戶多任務(wù)的操作系統(tǒng)設(shè)計(jì)，
Linux權(quán)限體系解析
你真的了解Linux權(quán)限嗎？大多數(shù)人只知道rwx，但Linux的權(quán)限體系遠(yuǎn)比你想象的復(fù)雜和強(qiáng)大。今天我們深入探討Linux的12位權(quán)限體系，這是每個(gè)運(yùn)維工程師都應(yīng)該掌握的核心知識(shí)。
RK3128增加usb調(diào)試模式，開放adb和root權(quán)限
常用的adb push和adb pull操作。
需求修改目前的需求是需要增加usb調(diào)試功能，開發(fā)adb和root權(quán)限，以方便調(diào)試連接，而這需要涉及到frameworks層和kernel層的修改。修改如下
發(fā)表于 07-22 10:10
【EASY EAI Orin Nano開發(fā)板試用體驗(yàn)】安裝nfs服務(wù)器
/nfsroot為nfs服務(wù)器的共享目錄
*：允許所有的網(wǎng)段訪問，也可以使用具體的IP
rw：掛接此目錄的客戶端對(duì)該共享目錄具有讀寫權(quán)限
sync：資料同步寫入內(nèi)存和硬盤
no_root_squash：root
發(fā)表于 06-22 17:32
【米爾-RK3562開發(fā)板試用評(píng)測】EtherCat移植、編譯
，所以要加上sudo ，但加上sudo后，會(huì)提示找不到arm gcc的路徑，這是由于上一篇配置的環(huán)境變量并不是root的，而是單獨(dú)用戶的。所以，要使用su -t命令跳轉(zhuǎn)到
發(fā)表于 05-28 14:49
Linux權(quán)限管理基礎(chǔ)入門
在Linux的廣闊天空中，權(quán)限管理猶如一只翱翔的雄鷹，掌控著系統(tǒng)的安全與秩序。掌握Linux權(quán)限，不僅能讓你的系統(tǒng)管理更加得心應(yīng)手，還能有效防止未授權(quán)訪問和數(shù)據(jù)泄露。本文將帶你深入探索Linux權(quán)限的奧秘，助你成為
評(píng)論