CVE-2019-14287 Демонстрационный контейнер

Это контейнер, созданный для демонстрационных целей, содержащий версию команды sudo, уязвимую к CVE-2019-14287 (https://www.sudo.ws/alerts/minus_1_uid.html).

Этот контейнер можно запустить с помощью:

docker run -ti cashwilliams/cve-2019-14287-demo

Конфигурация

В контейнере есть три реальных пользователя:

• root
• alice
• bob

Пользователь alice настроен так, чтобы иметь возможность запускать любые команды от имени любого другого пользователя (в данном случае bob, так как это единственный другой пользователь) с помощью sudo -u(user) (command), однако ему запрещено запускать команды от root. Это настроено в файле /etc/sudoers в конце с помощью:

alice ALL=(ALL,!root) NOPASSWD: ALL

Вы можете попробовать запускать команды от имени bob, например открыть оболочку, с помощью следующей команды:

sudo -ubob bash

Однако если вы попытаетесь выполнить команду от root, вам будет предложено ввести пароль, который неизвестен (и команда всё равно не сработает). Это сделано намеренно и показывает, что команда sudo работает корректно.

CVE-2019-14287

Ошибка "minus_1_uid" в sudo (https://www.sudo.ws/alerts/minus_1_uid.html) была опубликована 14 октября 2019 года и демонстрирует проблему с тем, как интерпретируется аргумент пользователя.

В этом случае alice может запускать команды от root, например открыть оболочку, с помощью следующей команды:

sudo -u#-1 bash