2025年7月、sudo ユーティリティにおいて新たに公開された2つの脆弱性 CVE-2025-32463 および CVE-2025-32462 が、多数の Linux ディストリビューションを危険にさらしています。より深刻な CVE‑2025‑32463 は CVSS スコア 9.3 を記録し、ローカル権限昇格 とシステム全体の完全な侵害を可能にします。現在、実際の悪用が発生しています。直ちに パッチを適用してください。
sudo は、ほとんどの Unix 系システムの中核ユーティリティであり、ユーザーが別のユーザー（通常は root）としてコマンドを実行できるようにします。Linux における 特権アクセス 制御の中心です。
sudo が侵害されると、その影響は甚大です。ローカルユーザーがシステム全体に対する root レベルのアクセス を得る可能性があります。
sudoers ポリシーの解析ロジックにおける安全でないパス展開と入力サニタイズの欠如。低権限アクセス を持つ攻撃者は、コマンドパスに ワイルドカード (*) を使用するように誤設定された sudoers ルールを悪用できます。悪意のあるバイナリを作成し、sudo に（ワイルドカード経由で）実行させることで、攻撃者は root シェル を獲得します。
🔥 ある概念実証 (PoC) では、攻撃者は以下を悪用しました：
Cmnd_Alias EXPLOIT = /usr/bin/cp /etc/* /dev/null
ペイロードを /etc/passwd に仕込むことで、即座に権限を昇格させました。
脆弱性のある sudo バージョンを搭載する主要なディストリビューションはすべて影響を受けます。
各ディストリビューションは 2025年7月15日 時点で緊急パッチをリリースしています。
/etc/sudoers またはインクルードされたポリシーファイル内のワイルドカードルール。
/tmp、/dev/shm、/home/*/.local などにある未知のバイナリやスクリプト。
以下のようなログエントリ：
sudo: unknown user root executed /tmp/payload
Sudo を直ちに更新する
バージョン 1.9.17p1 以降で両方の CVE が修正されています。
例 (Ubuntu):
sudo apt update && sudo apt install sudo
sudoers ルールを監査する
sudoers 内のワイルドカードエントリを避けてください：
# Dangerous
myuser ALL=(ALL) NOPASSWD: /usr/bin/cp /etc/* /tmp/
sudo の secure_path ディレクティブを使用する
$PATH 値を強制します。ファイル完全性監視
myuser ALL=(ALL) NOPASSWD: /usr/bin/cp /etc/passwd /tmp/passwd.backup
必要な場合を除き、ワイルドカード (*) やディレクトリレベルの権限を避けてください。
この脆弱性は、「大いなる力には大いなるセキュリティ責任が伴う」 ということを改めて思い起こさせます。sudo の柔軟性は強力なツールである一方、誤設定すると危険なものになります。
組織は sudo ポリシーの健全性を後付けではなく、重要なインフラストラクチャとして扱うべきです。監査を自動化し、最小権限の原則を適用してください。そして、常に 迅速にパッチを適用 しましょう。攻撃者はすでに動いているからです。