Sudo format string vulnerability

前置きSudo format string vulnerability ( CVE-2012-0809 ) というバグが、sudo コマンドには存在する。CVEが出ていることからも判るように、結構深刻なバグで、セキュリティ・ホールとしての性質を伴う。sudoのページによれば 運が良くても sudo はクラッシュし、運が悪いと攻撃者に root 権限を掌握される問題が含まれているかもしれないとの事だ。 で、このバグ、何がどうなっているのかについては、『てきとうなメモ: [Linux][Security] sudo-1.8のバグ』が詳しい。とても詳しいので、そちらだけ見ておけばいいやと思っていたのだが、何箇所かから、 お前も書けという圧力を食らったので、書くことにする。ただし、新しい情報がなにかあるって言うわけじゃない。 影響範囲このバグは sudo の 1.8.0 で導入され 1.8.3-

[tyru]

printf()系関数を使うのはフォーマット文を使う時だけにしよう

[wisboot]

エグイなーｗ／現象再現手順をステップ・バイ・ステップで分かりやすく解説していて読みやすい

[raimon49]

printf()の%sへのinjection