Linux sudo 本地提权漏洞安全警告 - UCloud中立云计算服务商

UCloud-202507-001:Linux sudo 本地提权漏洞安全警告

发布时间 2025-07-02
更新时间 2025-07-02
漏洞等级 High
CVE编号 CVE-2025-32462、CVE-2025-32463

漏洞详情

近日，Linux sudo 工具公开存在两个紧密关联的本地提权漏洞（CVE-2025-32462 / CVE-2025-32463）。主流 Linux 发行版默认配置下，攻击者可利用这两个漏洞从普通用户权限提升至 root 权限。
CVE-2025-32462 Linux sudo 本地权限提升漏洞在于 sudo 的 -h（--host）选项存在缺陷，该选项本应与 -l（--list）配合使用来查询远程主机权限，但实际未严格限制其仅用于查询功能，导致攻击者可能结合命令执行或文件编辑操作实现本地提权。
CVE-2025-32463 Linux sudo 本地权限提升漏洞存在于 sudo 的 chroot 功能中，当加载目标位置的 nsswitch.conf 配置文件时，会同时加载对应的动态库，攻击者可通过植入恶意动态库使非 sudoer 组用户获取 root 权限。

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

1.漏洞CVE-2025-32462

系统	受影响版本	修复版本
sudo 官方	sudo:1.8.8 到 1.9.17	sudo >= 1.9.17p1
ubuntu 24.04 LTS	sudo < 1.9.15p5-3ubuntu5.24.04.1	sudo >= 1.9.15p5-3ubuntu5.24.04.1
ubuntu 22.04 LTS	sudo < 1.9.9-1ubuntu2.5	sudo >= 1.9.9-1ubuntu2.5
ubuntu 20.04 LTS	sudo < 1.8.31-1ubuntu1.5+esm1	sudo >= 1.8.31-1ubuntu1.5+esm1
ubuntu 18.04 LTS	sudo < 1.8.21p2-3ubuntu1.6+esm1	sudo >= 1.8.21p2-3ubuntu1.6+esm1
ubuntu 16.04 LTS	sudo < 1.8.16-0ubuntu1.10+esm3	sudo >= 1.8.16-0ubuntu1.10+esm3
ubuntu 14.04 LTS	sudo < 1.8.9p5-1ubuntu1.5+esm8	sudo >= 1.8.9p5-1ubuntu1.5+esm8
Debian 11	sudo < 1.9.5p2-3+deb11u2	sudo >= 1.9.5p2-3+deb11u2
Debian 12	sudo < 1.9.13p3-1+deb12u2	sudo >= 1.9.13p3-1+deb12u2
Rocky 9	sudo < 1.9.5p2-10.el9_6.1.x86_64	sudo >= 1.9.5p2-10.el9_6.1.x86_64
Rocky 8	sudo < 1.9.5p2-1.el8_10.1.x86_64	sudo >= 1.9.5p2-1.el8_10.1.x86_64
Red Hat Enterprise Linux 10	受影响	官方暂未发布修复包
Red Hat Enterprise Linux 9	sudo < 1.9.5p2-10.el9_6.1.x86_64	sudo >= 1.9.5p2-10.el9_6.1.x86_64
Red Hat Enterprise Linux 8	sudo < 1.9.5p2-1.el8_10.1.x86_64	sudo >= 1.9.5p2-1.el8_10.1.x86_64
Red Hat Enterprise Linux 7	受影响	官方已停止维护
Red Hat Enterprise Linux 6	不受影响
CentOS 9	sudo <1.9.5p2-10.el9_6.1.x86_64	sudo-1.9.5p2-10.el9_6.1.x86_64
CentOS 8	受影响	官方已停止维护
CentOS 7	受影响	官方已停止维护
CentOS 6	不受影响

2.漏洞CVE-2025-32463

系统	受影响版本	修复版本
sudo 官方	sudo:1.9.14 到 1.9.17	sudo >= 1.9.17p1
ubuntu 24.04 LTS	sudo < 1.9.15p5-3ubuntu5.24.04.1	sudo >= 1.9.15p5-3ubuntu5.24.04.1
ubuntu 22.04 LTS	不受影响
ubuntu 20.04 LTS	不受影响
ubuntu 18.04 LTS	不受影响
ubuntu 16.04 LTS	不受影响
ubuntu 14.04 LTS	不受影响
Debian 11	sudo < 1.9.5p2-3+deb11u1	sudo >= 1.9.5p2-3+deb11u1
Debian 12	sudo < 1.9.13p3-1+deb12u1	sudo >= 1.9.13p3-1+deb12u1
Rocky 9	不受影响
Rocky 8	不受影响
Red Hat Enterprise Linux 10	受影响	官方暂未发布修复包
Red Hat Enterprise Linux 9	不受影响
Red Hat Enterprise Linux 8	不受影响
Red Hat Enterprise Linux 7	不受影响
Red Hat Enterprise Linux 6	不受影响
CentOS 9	不受影响
CentOS 8	不受影响
CentOS 7	不受影响	官方已停止维护
CentOS 6	不受影响

3.UCloud主机入侵检测Uhids已经支持该漏洞的检测，检测结果可在”安全事件“-”安全漏洞“-”主机漏洞“中查看

临时缓解措施

针对CVE-2025-32462漏洞：
检查 sudoers 文件中是否使用了 Host 或 Host_Alias 选项：sudo grep -r "Host\|Host_Alias" /etc/sudoers /etc/sudoers.d/
如果发现使用了这些选项，可以临时修改 sudoers 文件，将特定主机名替换为 ALL，或者确保各主机上的sudoers文件仅包含适用于该主机本身的规则。

针对CVE-2025-32463漏洞：
由于没有可用的临时解决方案，强烈建议立即更新至修复版本，若无法立即更新，可以考虑临时禁用 sudo 的 chroot 功能，但这可能会影响依赖此功能的系统操作。

参考链接

https://www.stratascale.com/vulnerability-alert-CVE-2025-32462-sudo-host
https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot

漏洞详情

修复方案

临时缓解措施

参考链接

UCloud与云服务

快速入口

常见问题

用户俱乐部