Ubuntu時間錯亂漏洞仍未修復 不知道密碼可獲root權限
Ubuntu(烏班圖)是世界上最流行的Linux發行版本之一，其通用Unix組件中存在一個安全漏洞。然而距離官方發布相關補丁已經一年多了，該漏洞還是未能得到修復。
Unix系統中的“Sudo”是“Super do”的通用簡稱。Sudo應用屬于Unix系統的常見組件，幾十年來一直是Unix系統的一部分。該應用使得用戶可以像擁有root權限時那樣進行操作，而不需要用戶以管理員身份登錄。這建立了一種比較安全的環境。
然而該漏洞可以使黑客在不知道密碼的情況下使用已經登錄的帳號獲得系統root權限。方式很簡單，只需要對系統日期和時間動些小手腳就可以了。一位用戶在2013年8月報告了該漏洞，表示該漏洞影響到烏班圖 13.04和OS X的某些版本。大體來講，只要OS X操作系統在進行時間更改時不需要輸入密碼，就有可能受到影響。
Apple在一封向媒體進行解釋的電子郵件中稱，他們在漏洞2013年出現的第一時間就進行了修復。移除了該漏洞的Sudo的新版本從2014年2月開始推送。
不過，烏班圖對此并沒有規范化的更新策略。盡管Canonical公司(烏班圖發行商)的工程師泰勒•?？怂乖诼┒锤櫽懻撝斜硎?，烏班圖 15.10將會打上補丁，但這要等到今年十月份了。
?？怂乖谖闹袑懙溃?ldquo;在考慮到所有細節后，基于各種緩解因素，我認為該問題并不嚴重。如果攻擊一臺解鎖的電腦，有許多不同的方式，最好的安全措施就是要求用戶在離開時對電腦進行鎖屏。”
2013年曝出該漏洞的用戶并不諱言他對烏班圖團隊處理態度的意見。
“修補這個漏洞并不難，甚至是Debian都在穩定版更新中修復了該漏洞。為什么要推遲一年再修復呢?”
安全研究分析師則表示，這并不是一個災難性的安全漏洞。
他表示，“天空沒有塌下來。在開始做任何事情之前，黑客首先需要登入系統，這減少了威脅向量和威脅情景。”
然而，哪怕是不考慮攻擊者可以通過該漏洞獲取Root權限，僅僅是在沒有密碼的情況下篡改系統時間和日期設置就很讓人頭疼了。
如果攻擊者可以隨意改動系統時間，他們可以讓入侵事件反應部門過得很難受。因為一旦時間被搞亂，拼湊攻擊的過程就很困難了。而且，如果被入侵系統中存在基于本地時間的信息匯總日志，黑客可以進行時間欺騙，讓系統自己刪除該日志，掩飾攻擊的痕跡。
原文地址：http://www.aqniu.com/threat-alert/7603.html
