UCloud-202507-001:Linux sudo 本地提权漏洞安全警告
- 发布时间
- 更新时间
- 2025-07-02
- 漏洞等级
- High
- CVE编号
- CVE-2025-32462、CVE-2025-32463
漏洞详情
近日，Linux sudo 工具公开存在两个紧密关联的本地提权漏洞（CVE-2025-32462 / CVE-2025-32463）。主流 Linux 发行版默认配置下，攻击者可利用这两个漏洞从普通用户权限提升至 root 权限。
CVE-2025-32462 Linux sudo 本地权限提升漏洞在于 sudo 的 -h（--host）选项存在缺陷，该选项本应与 -l（--list）配合使用来查询远程主机权限，但实际未严格限制其仅用于查询功能，导致攻击者可能结合命令执行或文件编辑操作实现本地提权。
CVE-2025-32463 Linux sudo 本地权限提升漏洞存在于 sudo 的 chroot 功能中，当加载目标位置的 nsswitch.conf 配置文件时，会同时加载对应的动态库，攻击者可通过植入恶意动态库使非 sudoer 组用户获取 root 权限。
修复方案
注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
1.漏洞CVE-2025-32462
系统
受影响版本
修复版本
sudo 官方
sudo:1.8.8 到 1.9.17
sudo >= 1.9.17p1
ubuntu 24.04 LTS
sudo < 1.9.15p5-3ubuntu5.24.04.1
sudo >= 1.9.15p5-3ubuntu5.24.04.1
ubuntu 22.04 LTS
sudo < 1.9.9-1ubuntu2.5
sudo >= 1.9.9-1ubuntu2.5
ubuntu 20.04 LTS
sudo < 1.8.31-1ubuntu1.5+esm1
sudo >= 1.8.31-1ubuntu1.5+esm1
ubuntu 18.04 LTS
sudo < 1.8.21p2-3ubuntu1.6+esm1
sudo >= 1.8.21p2-3ubuntu1.6+esm1
ubuntu 16.04 LTS
sudo < 1.8.16-0ubuntu1.10+esm3
sudo >= 1.8.16-0ubuntu1.10+esm3
ubuntu 14.04 LTS
sudo < 1.8.9p5-1ubuntu1.5+esm8
sudo >= 1.8.9p5-1ubuntu1.5+esm8
Debian 11
sudo < 1.9.5p2-3+deb11u2
sudo >= 1.9.5p2-3+deb11u2
Debian 12
sudo < 1.9.13p3-1+deb12u2
sudo >= 1.9.13p3-1+deb12u2
Rocky 9
sudo < 1.9.5p2-10.el9_6.1.x86_64
sudo >= 1.9.5p2-10.el9_6.1.x86_64
Rocky 8
sudo < 1.9.5p2-1.el8_10.1.x86_64
sudo >= 1.9.5p2-1.el8_10.1.x86_64
Red Hat Enterprise Linux 10
受影响
官方暂未发布修复包
Red Hat Enterprise Linux 9
sudo < 1.9.5p2-10.el9_6.1.x86_64
sudo >= 1.9.5p2-10.el9_6.1.x86_64
Red Hat Enterprise Linux 8
sudo < 1.9.5p2-1.el8_10.1.x86_64
sudo >= 1.9.5p2-1.el8_10.1.x86_64
Red Hat Enterprise Linux 7
受影响
官方已停止维护
Red Hat Enterprise Linux 6
不受影响
CentOS 9
sudo <1.9.5p2-10.el9_6.1.x86_64
sudo-1.9.5p2-10.el9_6.1.x86_64
CentOS 8
受影响
官方已停止维护
CentOS 7
受影响
官方已停止维护
CentOS 6
不受影响
2.漏洞CVE-2025-32463
系统
受影响版本
修复版本
sudo 官方
sudo:1.9.14 到 1.9.17
sudo >= 1.9.17p1
ubuntu 24.04 LTS
sudo < 1.9.15p5-3ubuntu5.24.04.1
sudo >= 1.9.15p5-3ubuntu5.24.04.1
ubuntu 22.04 LTS
不受影响
ubuntu 20.04 LTS
不受影响
ubuntu 18.04 LTS
不受影响
ubuntu 16.04 LTS
不受影响
ubuntu 14.04 LTS
不受影响
Debian 11
sudo < 1.9.5p2-3+deb11u1
sudo >= 1.9.5p2-3+deb11u1
Debian 12
sudo < 1.9.13p3-1+deb12u1
sudo >= 1.9.13p3-1+deb12u1
Rocky 9
不受影响
Rocky 8
不受影响
Red Hat Enterprise Linux 10
受影响
官方暂未发布修复包
Red Hat Enterprise Linux 9
不受影响
Red Hat Enterprise Linux 8
不受影响
Red Hat Enterprise Linux 7
不受影响
Red Hat Enterprise Linux 6
不受影响
CentOS 9
不受影响
CentOS 8
不受影响
CentOS 7
不受影响
官方已停止维护
CentOS 6
不受影响
3.UCloud主机入侵检测Uhids已经支持该漏洞的检测，检测结果可在"安全事件"-"安全漏洞"-"主机漏洞"中查看
临时缓解措施
针对CVE-2025-32462漏洞：
检查 sudoers 文件中是否使用了 Host 或 Host_Alias 选项：sudo grep -r "Host|Host_Alias" /etc/sudoers /etc/sudoers.d/
如果发现使用了这些选项，可以临时修改 sudoers 文件，将特定主机名替换为 ALL，或者确保各主机上的sudoers文件仅包含适用于该主机本身的规则。
针对CVE-2025-32463漏洞：
由于没有可用的临时解决方案，强烈建议立即更新至修复版本，若无法立即更新，可以考虑临时禁用 sudo 的 chroot 功能，但这可能会影响依赖此功能的系统操作。
参考链接
https://www.stratascale.com/vulnerability-alert-CVE-2025-32462-sudo-host
https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot