Ubuntu(烏班圖)是世界上最流行的Linux發(fā)行版本之一，其通用Unix組件中存在一個安全漏洞。然而距離官方發(fā)布相關(guān)補丁已經(jīng)一年多了，該漏洞還是未能得到修復。

Unix系統(tǒng)中的“Sudo”是“Super do”的通用簡稱。Sudo應用屬于Unix系統(tǒng)的常見組件，幾十年來一直是Unix系統(tǒng)的一部分。該應用使得用戶可以像擁有root權(quán)限時那樣進行操作，而不需要用戶以管理員身份登錄。這建立了一種比較安全的環(huán)境。

然而該漏洞可以使黑客在不知道密碼的情況下使用已經(jīng)登錄的帳號獲得系統(tǒng)root權(quán)限。方式很簡單，只需要對系統(tǒng)日期和時間動些小手腳就可以了。一位用戶在2013年8月報告了該漏洞，表示該漏洞影響到烏班圖 13.04和OS X的某些版本。大體來講，只要OS X操作系統(tǒng)在進行時間更改時不需要輸入密碼，就有可能受到影響。

Apple在一封向媒體進行解釋的電子郵件中稱，他們在漏洞2013年出現(xiàn)的第一時間就進行了修復。移除了該漏洞的Sudo的新版本從2014年2月開始推送。

不過，烏班圖對此并沒有規(guī)范化的更新策略。盡管Canonical公司(烏班圖發(fā)行商)的工程師泰勒·希克斯在漏洞跟蹤討論中表示，烏班圖 15.10將會打上補丁，但這要等到今年十月份了。

希克斯在文中寫道，“在考慮到所有細節(jié)后，基于各種緩解因素，我認為該問題并不嚴重。如果攻擊一臺解鎖的電腦，有許多不同的方式，最好的安全措施就是要求用戶在離開時對電腦進行鎖屏。”

2013年曝出該漏洞的用戶并不諱言他對烏班圖團隊處理態(tài)度的意見。

“修補這個漏洞并不難，甚至是Debian都在穩(wěn)定版更新中修復了該漏洞。為什么要推遲一年再修復呢?”

安全研究分析師則表示，這并不是一個災難性的安全漏洞。

他表示，“天空沒有塌下來。在開始做任何事情之前，黑客首先需要登入系統(tǒng)，這減少了威脅向量和威脅情景。”

然而，哪怕是不考慮攻擊者可以通過該漏洞獲取Root權(quán)限，僅僅是在沒有密碼的情況下篡改系統(tǒng)時間和日期設(shè)置就很讓人頭疼了。

如果攻擊者可以隨意改動系統(tǒng)時間，他們可以讓入侵事件反應部門過得很難受。因為一旦時間被搞亂，拼湊攻擊的過程就很困難了。而且，如果被入侵系統(tǒng)中存在基于本地時間的信息匯總?cè)罩荆诳涂梢赃M行時間欺騙，讓系統(tǒng)自己刪除該日志，掩飾攻擊的痕跡。

原文地址：http://www.aqniu.com/threat-alert/7603.html