如何修补 debian 上的 sudo 漏洞导致本地权限提升 CVE-2021-23239 和 CVE-2021-3156（又名 Baron Samedit）？

Question

在 Linux Mint 20.1 Ulyssa 上，我收到了一个安全更新来修补两个安全漏洞，导致所有未修补的 sudo 版本在没有密码的情况下进行本地权限提升1.9.5，这里是更改日志的一部分：

sudo (1.8.31-1ubuntu1.2) focal-security; urgency=medium

  * SECURITY UPDATE: dir existence issue via sudoedit race
    - debian/patches/CVE-2021-23239.patch: fix potential directory existing
      info leak in sudoedit in src/sudo_edit.c.
    - CVE-2021-23239
  * SECURITY UPDATE: heap-based buffer overflow
    - debian/patches/CVE-2021-3156-pre1.patch: sanity check size when
      converting the first record to TS_LOCKEXCL in
      plugins/sudoers/timestamp.c.
    - debian/patches/CVE-2021-3156-1.patch: reset valid_flags to
      MODE_NONINTERACTIVE for sudoedit in src/parse_args.c.
    - debian/patches/CVE-2021-3156-2.patch: add sudoedit flag checks in
      plugin in plugins/sudoers/policy.c.
    - debian/patches/CVE-2021-3156-3.patch: fix potential buffer overflow
      when unescaping backslashes in plugins/sudoers/sudoers.c.
    - debian/patches/CVE-2021-3156-4.patch: fix the memset offset when
      converting a v1 timestamp to TS_LOCKEXCL in
      plugins/sudoers/timestamp.c.
    - debian/patches/CVE-2021-3156-5.patch: don't assume that argv is
      allocated as a single flat buffer in src/parse_args.c.
    - CVE-2021-3156

 -- Marc Deslauriers <marc.deslauriers@ubuntu.com>  Tue, 19 Jan 2021 09:21:02 -0500

但是在 debian Buster 上，我只收到了一个sudo包更新。

在 debian 上sudo --version：1.8.27-1+deb10u3

但在 linux mint 上sudo --version：1.8.31-1ubuntu1.2

受影响的 Sudo 版本：

须藤的版本1.8.2通过1.8.31p2，并1.9.0经1.9.5p1受到影响。

质量安全纸：

成功利用此漏洞允许任何非特权用户在易受攻击的主机上获得 root 权限。Qualys 安全研究人员已经能够在 Ubuntu 20.04 (Sudo 1.8.31)、Debian 10 (Sudo 1.8.27) 和 Fedora 33 (Sudo 1.9.2) 上独立验证漏洞并开发多种漏洞利用方式并获得完全 root 权限. 其他操作系统和发行版也可能被利用。

在上传安全更新之前，有什么方法可以强化 debian 以避免利用 2 个安全漏洞 CVE-2021-23239 和 CVE-2021-3156？

Answer 1

CVE-2021-3156 由sudo1.8.27-1+deb10u3 修复。

CVE-2021-23239 和 CVE-2021-23240 都由 缓解fs.protected_symlinks，在 Debian 10 中默认设置为 1：此设置仅允许遵循位于粘性世界可写目录（例如/tmp）之外的符号链接，或者当符号链接的 uid 和跟随者匹配时，或者当目录所有者与符号链接的所有者匹配时。此外，CVE-2021-23240 仅影响使用 SELinux 的系统，这不是 Debian 中的默认设置。