Als Hersteller offener, Linux-basierter Systeme verfolgen wir Sicherheitsmeldungen sehr genau. Besonders aufmerksam werden wir, wenn ein so zentraler Bestandteil wie das Kommandozeilenwerkzeug sudo betroffen ist – ein Werkzeug, das auf nahezu jedem Linux-System zum Einsatz kommt, auch bei unseren TUXEDO-Rechnern.
Kürzlich haben Sicherheitsforscher der Firma Stratascale eine schwerwiegende Schwachstelle in sudo öffentlich gemacht. Die Lücke mit der Kennung CVE-2025–32463 erlaubt es lokalen Angreifern, Root-Rechte zu erlangen – ohne spezielle Berechtigungen, Konfigurationsänderungen oder komplexe Angriffswege. Betroffen sind alle sudo-Versionen ab 1.9.14, die seit Juni 2023 im Umlauf sind.
Schwachstelle in der Chroot-Implementierung
Die Ursache liegt in einem Fehler bei der Verarbeitung der Chroot-Funktion. Ein Angreifer mit einfachem Benutzerzugang kann unter bestimmten Bedingungen eine manipulierte nsswitch.conf einbringen. Dadurch lässt sich sudo dazu bringen, ein beliebiges Shared Object mit Root-Rechten zu laden und auszuführen.
Die Angriffskomplexität ist gering, eine spezielle Konfiguration von sudo ist nicht erforderlich. Damit stellt die Lücke ein erhebliches Risiko dar, sobald ein Angreifer Zugriff auf ein Benutzerkonto hat. Getestet wurde das Verhalten unter anderem auf Ubuntu 24.04.1 und Fedora 41, betroffen sind aber voraussichtlich zahlreiche weitere Distributionen. Auch TUXEDO OS.
In TUXEDO OS bereits behoben
Unsere Sicherheitsupdates basieren auf der stabilen Grundlage von Ubuntu – ergänzt durch eigene Pakete und Konfigurationsanpassungen. Die betroffene sudo-Version wurde in TUXEDO OS durch das aktualisierte Paket mit der Version 1.9.15p5–3ubuntu5.24.04.1 ersetzt, das die Lücke schließt.
Ob auf Ihrem TUXEDO-System bereits die abgesicherte Version installiert ist, prüfen Sie mit folgendem Befehl im Terminal. Die Ausgabe liefert Ihnen die installierte Version zurück.
dpkg -l | grep sudo | grep -v ksudo ii sudo 1.9.15p5-3ubuntu5.24.04.1
Falls Ihr System noch eine ältere Version verwendet, empfehlen wir, umgehend alle verfügbaren Updates einzuspielen:
sudo apt update sudo apt full-upgrade
Zukünftige Änderungen an sudo
Mit der neuen Version wurde die Unterstützung für Chroot in sudo als veraltet markiert. Sie soll in einer kommenden Version vollständig entfernt werden. Frühere Versionen von sudo, insbesondere vor 1.9.14, enthalten die verwundbare Implementierung noch nicht und sind daher nicht betroffen. Ein alternativer Workaround zur Absicherung existiert nicht – nur die Aktualisierung der Software schützt zuverlässig.
