⚠️ CVE‑2025‑32463 و CVE‑2025‑32462 – ثغرات تصعيد الامتيازات في Sudo في Linux

🧠 TL;DR

في يوليو 2025، كشفت ثغرتان جديدتان في أداة sudo—CVE-2025-32463 و CVE-2025-32462—عن تعريض العديد من توزيعات Linux للخطر. الأكثر خطورة بينهما، CVE‑2025‑32463، يحمل درجة CVSS 9.3، مما يتيح تصعيد الامتيازات المحلية واحتمال اختراق النظام بالكامل. بدأت أدوات الاستغلال (exploits) في الظهور في البرية. قم بالتحديث فورًا.

🔍 ما هو Sudo؟

sudo هي أداة أساسية في جميع الأنظمة المشتقة من Unix تقريبًا، تتيح للمستخدمين تشغيل الأوامر كمستخدم آخر (عادةً root). وهي محورية في التحكم في الوصول المميز على Linux.

إذا تم اختراق sudo، فإن العواقب هائلة — فقد يحصل أي مستخدم محلي على وصول على مستوى الجذر إلى النظام بأكمله.

📌 تحليل الثغرات

✅ CVE‑2025‑32463 — تصعيد امتيازات حرج

• الخطورة: حرجة (CVSS: 9.3)
• التأثير: يمكن للمستخدمين المحليين تجاوز السياسات الأمنية و تنفيذ ملفات عشوائية بامتيازات مرتفعة.
• إصدارات Sudo المتأثرة: قبل 1.9.17p1
• اكتشفها: وحدة أبحاث التهديدات في Qualys (TRU)
• السبب الجذري: توسيع مسار غير آمن ونقص تعقيم المدخلات في منطق تحليل سياسة sudoers.

🔧 الاستغلال

يمكن لمهاجم يتمتع بوصول بامتيازات منخفضة استغلال قاعدة sudoers مهيأة بشكل خاطئ تستخدم رموز البدل (*) في مسارات الأوامر. من خلال إنشاء ملف ثنائي ضار وخداع sudo لتنفيذه (عبر رمز البدل)، يحقق المهاجم صدفة الجذر.

🔥 في أحد إثباتات المفهوم (PoC)، استغل المهاجمون:

Cmnd_Alias EXPLOIT = /usr/bin/cp /etc/* /dev/null

من خلال زرع حمولتهم في /etc/passwd، قاموا بتصعيد الامتيازات فورًا.

⚠️ CVE‑2025‑32462 — خطورة أقل، خطأ داعم

• الخطورة: منخفضة (CVSS: 2.8)
• التأثير: تنظيف غير صحيح لهياكل الذاكرة. لا يتيح تصعيد الامتيازات بشكل مباشر، ولكنه يدعم استغلالًا أكثر استقرارًا لـ CVE-2025-32463.
• الإصلاح: تم حله أيضًا في sudo 1.9.17p1

🧬 التوزيعات المتأثرة

جميع التوزيعات الرئيسية التي تشحن إصدارات sudo الثغرة متأثرة:

• Ubuntu (20.04, 22.04, 24.04)
• Debian (10/11/12)
• Fedora
• Red Hat Enterprise Linux (7, 8, 9)
• SUSE Linux Enterprise
• Arch Linux

كل منها أصدر تصحيحات طارئة اعتبارًا من 15 يوليو 2025.

🧪 الكشف ومؤشرات الاستغلال (IoEs)

ابحث عن:

• قواعد رموز البدل في /etc/sudoers أو ملفات السياسة المضمنة.

• ملفات ثنائية أو نصوص برمجية غير معروفة في /tmp، /dev/shm، /home/*/.local، إلخ.

• إدخالات سجل مثل:

  root@kitploit:~

  sudo: unknown user root executed /tmp/payload
  

🩹 التخفيف

1. تحديث Sudo فورًا

   • الإصدار 1.9.17p1 أو الأحدث يصلح كلا الثغرتين.

   • مثال (Ubuntu):

     root@kitploit:~

     sudo apt update && sudo apt install sudo
     

2. تدقيق قواعد sudoers

   • تجنب إدخالات رموز البدل في sudoers:

     root@kitploit:~

     # Dangerous
     myuser ALL=(ALL) NOPASSWD: /usr/bin/cp /etc/* /tmp/
     

     • استبدلها بمسارات أوامر صريحة.

3. استخدم توجيه secure_path في sudo

   • يفرض قيم $PATH آمنة ومحدودة في البيئات المرتفعة الامتيازات.

4. مراقبة تكامل الملفات

   • أدوات مثل AIDE، Auditd، أو OSSEC يمكنها تنبيهك إلى إسقاطات ملفات ثنائية مشبوهة أو تنفيذات نصوص برمجية.

🔒 مثال على قاعدة sudoers آمنة

myuser ALL=(ALL) NOPASSWD: /usr/bin/cp /etc/passwd /tmp/passwd.backup

تجنب رموز البدل (*) وأذونات مستوى الدليل ما لم يكن ذلك ضروريًا.

🧠 أفكار ختامية

هذه الثغرة هي تذكير آخر بأن "مع القوة العظيمة تأتي مسؤولية أمنية كبيرة." مرونة sudo تجعلها أداة قوية — وخطيرة عند تكوينها بشكل خاطئ.

يجب على المؤسسات التعامل مع النظافة السياسية لـ sudo كبنية تحتية حرجة، وليس كأمر لاحق. قم بأتمتة عمليات التدقيق. طبق مبادئ أقل الامتيازات. ودائمًا، طبق التصحيح بسرعة — لأن المهاجمين يفعلون ذلك بالفعل.

🔗 المراجع

• Qualys Full Technical Disclosure
• Sudo Patch Release Note (v1.9.17p1)
• MITRE CVE-2025-32463
• Ubuntu Security Notice