ثغرة خيار المضيف في sudo على دبيان (DSA-5954-1) وثغرة chroot التي لم تمسّ دبيان

نشرت دبيان في 30 يونيو 2025 التحذير DSA-5954-1 لحزمة sudo على دبيان 12 (bookworm). يعالج التحديث الثغرة CVE-2025-32462 في الخيار -h/--host، والتي قد تسمح، بحسب قواعد ملف sudoers لديك، برفع الصلاحيات محليًا. وفي اليوم نفسه كشف مشروع sudo عن ثغرة ثانية أخطر في الخيار --chroot هي CVE-2025-32463، وأضافتها CISA لاحقًا إلى كتالوج الثغرات المستغلة فعليًا (KEV). ويُظهر متتبع الأمان في دبيان أن هذه الثغرة الثانية لم تؤثر في أي إصدار منشور من دبيان.

نظرة سريعة

ما طبيعة الثغرات؟

الثغرة CVE-2025-32462 (خيار المضيف): بحسب تحذير مشروع sudo، صُمّم الخيار -h ليُستخدم مع -l لعرض صلاحيات مستخدم على مضيف آخر. لكن بسبب خلل برمجي لم يقتصر على العرض، فصار بإمكان المستخدم تشغيل أمر، أو تعديل ملف عبر sudoedit، وفق قواعد كُتبت لجهاز آخر. ويجب أن يكون المستخدم مدرجًا في sudoers أصلًا. القواعد التي يكون حقل المضيف فيها ALL غير متأثرة، أما القواعد التي تسمّي مضيفًا محددًا غير الجهاز الحالي فمتأثرة. ويعني ذلك خصوصًا الجهات التي توزّع ملف sudoers واحدًا على أجهزة كثيرة، أو تحفظ القواعد في LDAP أو SSSD. والنسخ المتأثرة في المشروع الأصلي من 1.8.8 إلى 1.9.17.

الثغرة CVE-2025-32463 (خيار chroot): يصف مشروع sudo رفعًا محليًا للصلاحيات عبر الخيار -R/--chroot، إذ يمكن للمستخدم أن يجعل sudo يحمّل ملف /etc/nsswitch.conf من مجلد يتحكم فيه، فيشغّل أوامر بصلاحيات الجذر حتى دون أن يكون له إدخال في sudoers. تؤثر الثغرة في النسخ من 1.9.14 إلى 1.9.17، ودرجتها 9.3 (حرجة) وفق الجهة المُصدِرة، وأضافتها CISA إلى كتالوج KEV في 29 سبتمبر 2025. ويصنّف متتبع دبيان الإصدارين bookworm وbullseye على أنهما غير متأثرين لأن الشيفرة المعيبة أُضيفت لاحقًا، ويسجّل الإصلاح في النسخة 1.9.16p2-3 التي بُني عليها trixie.

هل أنت متأثر؟

تحقق من النسخة المثبتة وقارنها بالنسخة المصحَّحة:

dpkg-query -W -f='${Package} ${Version}\n' sudo sudo-ldap 2>/dev/null
apt policy sudo

ثم افحص القواعد نفسها. اطبع كل سطر فعّال في sudoers وانظر إلى حقل المضيف (الجزء الذي يسبق =):

sudo grep -rnEv '^[[:space:]]*(#|Defaults|$)' /etc/sudoers /etc/sudoers.d/

سطر مثل bob ALL = ALL غير متأثر، أما alice cerebus = ALL على جهاز ليس اسمه cerebus فهو النمط الخطِر. وإن كانت قواعدك تأتي من LDAP أو SSSD فراجعها هناك.

كيف تحدّث؟

sudo apt update
sudo apt install --only-upgrade sudo
apt policy sudo

أصدرت دبيان لاحقًا إصلاحات أخرى لـ sudo عبر التحديثات الاعتيادية للإصدار المستقر لا عبر تحذير DSA. فالثغرة CVE-2026-35535 (فشل في التخلي عن الصلاحيات قبل تشغيل برنامج البريد، ودرجتها 7.4 عالية وفق الجهة المُصدِرة) مصحَّحة في bookworm بالنسخة 1.9.13p3-1+deb12u4 وفي trixie بالنسخة 1.9.16p2-3+deb13u2، وهما النسختان المستهدفتان اليوم. كما يُدرج المتتبع الثغرة CVE-2026-96512 الخاصة بقواعد NOTBEFORE/NOTAFTER التي تُكتب طوابعها الزمنية دون الحرف Z في آخرها، بوصفها مسألة ثانوية ما زالت مفتوحة في الإصدارين، فإن كنت تستخدم هذين الخيارين فراجعهما.

إعادة تشغيل الخدمة أم الخادم؟

لا هذا ولا ذاك. فـ sudo ليس خدمة، والبرنامج الجديد يُستخدم في المرة التالية التي يُشغَّل فيها.

المصادر

• security-tracker.debian.org/tracker/DSA-5954-1
• lists.debian.org/debian-security-announce/2025/msg00118.html
• debian.org/security/2025/dsa-5954
• security-tracker.debian.org/tracker/DLA-4235-1
• security-tracker.debian.org/tracker/CVE-2025-32462
• security-tracker.debian.org/tracker/CVE-2025-32463
• security-tracker.debian.org/tracker/CVE-2026-35535
• security-tracker.debian.org/tracker/CVE-2026-96512
• security-tracker.debian.org/tracker/source-package/sudo
• sudo.ws/security/advisories/host_any
• sudo.ws/security/advisories/chroot_bug
• cve.org/CVERecord?id=CVE-2025-32462
• cve.org/CVERecord?id=CVE-2025-32463
• cve.org/CVERecord?id=CVE-2026-35535
• cve.org/CVERecord?id=CVE-2026-96512
• nvd.nist.gov/vuln/detail/CVE-2025-32462
• cisa.gov/known-exploited-vulnerabilities-catalog
• packages.debian.org/source/bookworm/sudo