Sudo 被披露存在一处高危安全漏洞，编号 CVE-2026-96512。本地攻击者可利用该漏洞绕过基于时间的访问限制，以高权限执行命令。影响范围覆盖 Sudo 1.8.20 至 1.9.17p2，问题根源在于程序对 TZ 环境变量的处理存在缺陷。
Sudo 是 Linux 平台广泛使用的权限管理工具，允许授权用户以 root 或其他用户身份执行命令。管理员可以通过 sudoers规则 限制高权限命令的可用时间段，例如 NOTBEFORE 和 NOTAFTER 条件分别禁止用户在指定日期前、访问窗口过期后执行对应命令。
这个漏洞的触发逻辑在于：Sudo 的 parse_gentime() 函数在处理未显式指定时区的时间戳时，会依赖 mktime() 函数和环境变量中的 TZ 值完成计算，却没有对这个用户可控变量做安全隔离。由于 Sudo 是 setuid-root 程序，启动时会直接继承调用用户的环境变量，本地用户可以在执行 Sudo 命令前预先设置一个经过特殊构造的时区值。
如果用户设置极端的 POSIX 时区偏移值（例如 TZ=XXX24），可让 Sudo 对授权时间的判断前后偏移约 25 小时。这种偏移会让已过期的 NOTAFTER 规则被判定为有效，或让尚未到生效时间的 NOTBEFORE 规则被提前放行。
漏洞可突破临时授权限制
需要注意的是，该漏洞无法绕过密码认证或 PAM（可插拔认证模块）机制。攻击者要成功利用，需满足两个前提：一是拥有本地系统的合法认证账号，二是账号已配置带时间访问限制的 Sudo 权限。
如果管理员通过时间窗口配置敏感命令的临时访问权限，这个漏洞就会打破这层安全控制，让攻击者在允许的时间范围外提升权限。受影响的时间授权功能最早在 Sudo 1.8.20 版本中引入。
Red Hat 将该漏洞评级为高危，并明确指出：如果系统运行存在漏洞的 Sudo 版本，且配置的 NOTBEFORE 或 NOTAFTER 规则未显式指定时区信息，就会面临风险。独立安全研究员 Ermenson Junior 于 2026 年 8 月 28 日上报了该漏洞。
建议及时排查加固
Sudo 上游维护者 Todd Miller 于 2026 年 8 月 29 日向项目主分支提交了修复补丁。补丁会在 Sudo 设置时区时，从运行环境中移除用户可控的 TZ 变量，避免 mktime() 函数重复调用时读取攻击者构造的时区值。截至漏洞公开时，该修复尚未集成到已发布的 Sudo 1.9.18 版本中。
企业和组织应首先排查内部运行 Sudo 1.8.20 至 1.9.17p2 版本的系统，检查 sudoers 策略中配置的 NOTBEFORE、NOTAFTER 规则条目，待厂商发布更新后第一时间安装修复。
管理员配置带时间限制的授权规则时，应尽可能使用显式 UTC 时间戳或时区偏移值，减少时间计算过程中的歧义，进一步降低风险。
参考来源：
Sudo Security Vulnerability Lets Attackers Escalate Privileges | 
发表于 昨天 21:41
|
查看: 9|
回复: 0
