उबंटू CVE-2019-14287 पैच प्रबंधक

उबंटू CVE-2019-14287 पैच प्रबंधक CVE-2019-14287 के विरुद्ध सुरक्षा की जाँच, शमन और सत्यापन के लिए एक GUI-आधारित प्रयोगशाला उपकरण है, जो एक sudo विशेषाधिकार-वृद्धि भेद्यता है।

यह प्रोजेक्ट उबंटू 19.04 amd64 प्रयोगशाला वातावरण के लिए विकसित किया गया था।

प्रोजेक्ट का उद्देश्य

CVE-2019-14287 पुराने sudo संस्करणों को प्रभावित करता है। यह भेद्यता उपयोगकर्ता को sudoers नियम के साथ अनुमति देती है जो रूट को बाहर करता है, -1 या 4294967295 जैसे क्राफ्टेड संख्यात्मक उपयोगकर्ता ID का उपयोग करके प्रतिबंध को दरकिनार करती है।

उदाहरण जोखिमपूर्ण sudoers नियम:

someuser ALL=(ALL, !root) /usr/bin/vim

कमजोर sudo संस्करणों में, इसका दुरुपयोग निम्न से किया जा सकता है:

sudo -u#-1 id -u
sudo -u#4294967295 id -u

यदि आउटपुट 0 है, तो आदेश रूट के रूप में निष्पादित हुआ।

यह एप्लिकेशन क्या करता है

एप्लिकेशन सुरक्षा की दो परतें प्रदान करता है:

वास्तविक sudo पैकेज पैच
उपकरण sudo को अपडेट करने के लिए आधिकारिक पैकेज अपग्रेड कमांड चला सकता है।
Sudoers कॉन्फ़िगरेशन शमन
उपकरण sudoers फ़ाइलों को स्कैन करता है और !root या !#0 युक्त जोखिमपूर्ण नियमों को अक्षम करता है।

मुख्य विशेषताएँ

उबंटू संस्करण की जाँच करें
सिस्टम आर्किटेक्चर की जाँच करें
स्थापित sudo संस्करण की जाँच करें
वास्तविक sudo पैकेज पैच लागू करें
/etc/sudoers स्कैन करें
/etc/sudoers.d/* स्कैन करें
सक्रिय sudoers पंक्तियों का पता लगाएं जिनमें शामिल हैं:
- !root
- ! root
- !#0
- ! #0
GUI में जोखिमपूर्ण पंक्तियाँ दिखाएं
चयनित जोखिमपूर्ण पंक्तियों को अक्षम करें
संशोधन से पहले बैकअप बनाएं
visudo -cf का उपयोग करके परिवर्तनों को मान्य करें
क्राफ्टेड Runas UID मानों के विरुद्ध सुरक्षा सत्यापित करें

प्रोजेक्ट संरचना

ubuntu-cve-2019-14287-patch-manager/
├── app.py
├── scripts/
│   ├── check_system.sh
│   ├── apply_real_sudo_patch.sh
│   └── verify_patch.sh
├── assets/
├── README.md
├── .gitignore
├── logs/       रनटाइम पर उत्पन्न
├── backups/    रनटाइम पर उत्पन्न
├── package/    .deb बिल्ड के दौरान उत्पन्न
└── dist/       उत्पन्न .deb आउटपुट

आवश्यकताएँ

निर्भरताएँ स्थापित करें:

sudo apt update
sudo apt install -y python3 python3-tk sudo

स्रोत से चलाएँ

प्रोजेक्ट फ़ोल्डर पर जाएँ:

cd ~/projects/ubuntu-cve-2019-14287-patch-manager

एप्लिकेशन चलाएँ:

sudo python3 app.py

एप्लिकेशन को रूट के रूप में चलना चाहिए क्योंकि इसे निम्न तक पहुँच की आवश्यकता है:

/etc/sudoers
/etc/sudoers.d/*

डेबियन पैकेज बनाएँ

प्रोजेक्ट रूट से:

mkdir -p package/DEBIAN
mkdir -p package/usr/share/ubuntu-cve-2019-14287-patch-manager
mkdir -p package/usr/local/bin
mkdir -p dist

एप्लिकेशन फ़ाइलें कॉपी करें:

cp app.py package/usr/share/ubuntu-cve-2019-14287-patch-manager/
cp -r scripts package/usr/share/ubuntu-cve-2019-14287-patch-manager/
cp -r assets package/usr/share/ubuntu-cve-2019-14287-patch-manager/

रनटाइम फ़ोल्डर बनाएँ:

mkdir -p package/usr/share/ubuntu-cve-2019-14287-patch-manager/logs
mkdir -p package/usr/share/ubuntu-cve-2019-14287-patch-manager/backups

लॉन्चर बनाएँ:

cat > package/usr/local/bin/ubuntu-cve-2019-14287-patch-manager <<'LAUNCHER'
#!/bin/bash
cd /usr/share/ubuntu-cve-2019-14287-patch-manager
exec python3 app.py
LAUNCHER

chmod +x package/usr/local/bin/ubuntu-cve-2019-14287-patch-manager

डेबियन कंट्रोल फ़ाइल बनाएँ:

cat > package/DEBIAN/control <<'CONTROL'
Package: ubuntu-cve-2019-14287-patch-manager
Version: 1.0.0
Section: utils
Priority: optional
Architecture: all
Depends: python3, python3-tk, sudo
Maintainer: Hivin Manju Sri <[email protected]>
Description: GUI patch manager for CVE-2019-14287 sudo vulnerability
 A lab GUI tool for checking sudo version, applying the sudo package patch,
 scanning sudoers files for risky !root or !#0 rules, disabling selected risky
 rules safely, and verifying CVE-2019-14287 protection.
CONTROL

बिल्ड:

chmod 755 package/DEBIAN
chmod 644 package/DEBIAN/control
dpkg-deb --build package dist/ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb

स्थापित करें:

sudo dpkg -i dist/ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb
sudo apt --fix-broken install -y

स्थापना के बाद चलाएँ:

sudo ubuntu-cve-2019-14287-patch-manager

एप्लिकेशन वर्कफ़्लो

Check System पर क्लिक करें
Apply Real Sudo Patch पर क्लिक करें
Scan Sudoers Rules पर क्लिक करें
जोखिमपूर्ण sudoers पंक्तियों की समीक्षा करें
Disable Selected Risky Rules पर क्लिक करें
Verify Protection पर क्लिक करें

जोखिमपूर्ण नियम का पता लगाना

एप्लिकेशन किसी भी सक्रिय sudoers पंक्ति का पता लगाता है जिसमें शामिल है:

!root
! root
!#0
! #0

यह एक निश्चित उपयोगकर्ता नाम या कमांड पथ पर निर्भर नहीं करता है।

उदाहरण जोखिमपूर्ण नियम:

testone ALL=(ALL, !root) /usr/bin/vim
john ALL=(ALL,!root) /bin/bash
admin ALL=(ALL, !#0) /usr/bin/python3
%developers ALL=(ALL,!#0) /any/path

जब अक्षम किया जाता है, तो एक जोखिमपूर्ण नियम इस प्रकार बन जाता है:

# DISABLED by Ubuntu CVE-2019-14287 Patch Manager: john ALL=(ALL,!#0) /bin/bash

सत्यापन

एप्लिकेशन निम्न का उपयोग करके सुरक्षा सत्यापित करता है:

sudo -u#-1 id -u
sudo -u#4294967295 id -u

संरक्षित परिणाम:

कमांड विफल होते हैं या UID 0 वापस नहीं करते हैं।

कमजोर परिणाम:

सुरक्षा नोट्स

यह उपकरण प्रयोगशाला और शैक्षिक उपयोग के लिए है।

उत्पादन प्रणालियों के लिए:

समर्थित उबंटू रिलीज़ का उपयोग करें।
आधिकारिक sudo सुरक्षा अपडेट स्थापित करें।
(ALL, !root) का उपयोग करके व्यापक sudoers नियमों से बचें।
इसके बजाय स्पष्ट अनुमति-सूची का उपयोग करें।
हमेशा visudo का उपयोग करके sudoers फ़ाइलों को मान्य करें।

cd ~/projects/ubuntu-cve-2019-14287-patch-manager

cat >> README.md <<'EOF'

उबंटू 19.04 पर निर्भरता समस्याओं को ठीक करना

उबंटू 19.04 जीवन-अंत है, इसलिए इसके डिफ़ॉल्ट पैकेज रिपॉजिटरी आवश्यक निर्भरताएँ जैसे python3-tk प्रदान नहीं कर सकते हैं। यदि इंस्टॉलर निम्न के समान त्रुटि के साथ विफल होता है:

Depends: python3-tk but it is not installable
Unable to correct problems, you have held broken packages

नीचे दिए गए पुनर्प्राप्ति चरणों का उपयोग करें।

1. किसी भी टूटे हुए पैकेज की स्थिति को साफ करें

sudo dpkg --remove ubuntu-cve-2019-14287-patch-manager 2>/dev/null || true
sudo apt --fix-broken install -y
sudo dpkg --configure -a

2. वर्तमान APT स्रोत सूची का बैकअप लें

sudo cp /etc/apt/sources.list /etc/apt/sources.list.backup.$(date +%F_%H-%M-%S)

3. उबंटू 19.04 रिपॉजिटरी को old-releases पर इंगित करें

sudo sed -i -E 's|http://([a-z]{2}\.)?archive.ubuntu.com/ubuntu|http://old-releases.ubuntu.com/ubuntu|g' /etc/apt/sources.list
sudo sed -i -E 's|http://security.ubuntu.com/ubuntu|http://old-releases.ubuntu.com/ubuntu|g' /etc/apt/sources.list

4. पैकेज इंडेक्स अपडेट करें

sudo apt update

5. आवश्यक GUI निर्भरता स्थापित करें

sudo apt install -y python3-tk

6. एप्लिकेशन इंस्टॉलर को फिर से चलाएँ

wget -O ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb "https://github.com/HivinManjuSri/ubuntu-cve-2019-14287-patch-manager/releases/latest/download/ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb" && sudo apt install -y ./ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb

यदि apt install उबंटू 19.04 पर स्थानीय .deb फ़ाइल स्वीकार नहीं करता है, तो उपयोग करें:

wget -O ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb "https://github.com/HivinManjuSri/ubuntu-cve-2019-14287-patch-manager/releases/latest/download/ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb" && sudo dpkg -i ./ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb && sudo apt --fix-broken install -y

7. एप्लिकेशन चलाएँ

sudo ubuntu-cve-2019-14287-patch-manager

नोट

यह रिपॉजिटरी परिवर्तन मुख्य रूप से पुरानी उबंटू 19.04 प्रयोगशाला मशीनों के लिए आवश्यक है। उत्पादन प्रणालियों के लिए, जीवन-अंत रिपॉजिटरी पर निर्भर रहने के बजाय वर्तमान में समर्थित उबंटू रिलीज़ का उपयोग करें।

एक-कमांड GitHub रिलीज़ इंस्टॉलर

.deb फ़ाइल को GitHub latest release पर अपलोड करने के बाद, उपयोगकर्ता इस कमांड से एप्लिकेशन स्थापित कर सकते हैं:

wget -O ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb "https://github.com/HivinManjuSri/ubuntu-cve-2019-14287-patch-manager/releases/latest/download/ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb" && sudo apt install -y ./ubuntu-cve-2019-14287-patch-manager_1.0.0_all.deb

लेखक

हिविन मंजू श्री

सबसे लोकप्रिय

ubuntu-cve-2019-14287-patch-manager