Vulnerabilità critica in sudo

La falla consente a un utente locale di ottenere escalation fino a root. La vulnerabilità è stata inclusa nel catalogo KEV di CISA, a dimostrazione della sua gravità.

La centralità di sudo in Linux

Il comando sudo (“superuser do”) è l’utility che consente di eseguire comandi con privilegi di amministratore mantenendo al tempo stesso un controllo e un tracciamento delle operazioni. È presente nella quasi totalità dei sistemi Unix e Linux, nonché in molti ambienti BSD. La sua importanza è particolarmente evidente in Ubuntu, dove l’utente root non viene utilizzato direttamente: durante l’installazione viene creato un utente amministrativo che gestisce il sistema proprio attraverso sudo. In questo scenario, sudo diventa un elemento imprescindibile per l’amministrazione quotidiana. Compromettere il suo funzionamento significa quindi superare le barriere tra utenti normali e amministratori, ottenendo di fatto il controllo completo del sistema anche da parte di un utente non admin.

La vulnerabilità CVE-2025-32463

Il bug informatico riguarda una corruzione della memoria legata all’opzione -R, che consente di ridefinire la root directory del processo. Un utente locale non privilegiato, tramite un input appositamente costruito, può sfruttare la falla per eseguire codice arbitrario come root. Ciò significa che un normale account di sistema, magari concesso per attività limitate, può diventare la base per una completa escalation di privilegi. Tutte le versioni precedenti alla 1.9.17p1 risultano vulnerabili, mentre le versioni successive, come la 1.9.17p2, sono sicure.

Lo stato delle varie distro

Il panorama delle distribuzioni Linux mostra una situazione disomogenea. Debian 11 (bullseye) utilizza una versione molto vecchia e vulnerabile, la 1.9.5p2, mentre Debian 12 (bookworm) include la 1.9.13p3, anch’essa esposta. Soltanto Debian sid, il ramo unstable, ha adottato la versione corretta 1.9.17p2.
Anche Ubuntu 24.04 LTS, nonostante un aggiornamento di sicurezza recente, rimane vulnerabile con la sua release 1.9.15p5. Al contrario, distribuzioni a rilascio rapido come Fedora o Arch Linux hanno già incorporato la correzione.
Questa situazione conferma una dinamica ormai nota: i sistemi “enterprise” più stabili tendono purtroppo ad essere i più lenti nel distribuire aggiornamenti critici.

Perché la falla è importante

A differenza di altre vulnerabilità che colpiscono il perimetro della rete, questa agisce a livello locale. Potrebbe sembrare meno grave, ma non lo è affatto. In scenari multi-utente come università, ambienti di ricerca, server condivisi o infrastrutture cloud, un singolo account può trasformarsi rapidamente in un attacco contro l’intero sistema. Inoltre, basta un primo passo di compromissione, come credenziali SSH rubate o un accesso ottenuto tramite phishing, per rendere immediatamente sfruttabile questa falla ai fini dell’escalation. Il fatto che CISA l’abbia inserita nel proprio catalogo KEV significa che exploit concreti sono già stati osservati e che la minaccia è tutt’altro che teorica.

Mitigazioni temporanee

In attesa che gli aggiornamenti del pacchetto compaiano nei vari repository, è consigliabile ridurre al minimo gli utenti che possono invocare sudo, rimuovendo account non indispensabili dal gruppo sudoers. È altresì importante evitare configurazioni che permettono l’uso di sudo senza password, poiché aumentano le possibilità di abuso. Un controllo costante dei log di sistema può aiutare a individuare comportamenti anomali. Infine, limitare l’accesso remoto a SSH solo agli utenti realmente necessari contribuisce a ridurre il rischio.

La soluzione definitiva

La vera soluzione consiste nell’aggiornare sudo alla versione non vulnerabile. Al momento, non tutte le distribuzioni hanno reso disponibili pacchetti aggiornati, per cui gli amministratori hanno tre strade possibili: attendere i pacchetti ufficiali, ricompilare la versione aggiornata da sorgente o effettuare un backport dai repository unstable. Tutte e tre le soluzioni sono percorribili, ma la scelta dipende dall’ambiente e dalla necessità di mantenere l’integrità del sistema di pacchetti.

Conclusione

La vulnerabilità in sudo dimostra ancora una volta che la sicurezza di un sistema non si gioca soltanto sul perimetro esterno, ma anche e soprattutto nella gestione dei privilegi interni. In un mondo dove l’accesso utente può essere facilmente ottenuto attraverso phishing o furto di credenziali, la possibilità di trasformare quel punto d’ingresso in un controllo completo del server è un rischio concreto e immediato.

Si ribadisce ancora una volta il ruolo centrale degli amministratori di sistema accorti e sempre aggiornati, specialmente sulle vulnerabilità. In seconda battuta, l’importanza dei sistemi automatici di ricerca delle vulnerabilità di pacchetti e componenti software.