1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
|
#use wml::debian::translation-check translation="94c7ab265147cf1eeb6bea2f39e54bce51c20831" maintainer="Juan M. Garcia"
<define-tag description>olvido de sanear la entrada</define-tag>
<define-tag moreinfo>
<p>La corrección anterior a las vulnerabilidades del paquete sudo funcionaban
bien, pero eran demasiado estrictas para algunos entornos. Por tanto,
hemos vuelto a revisar los cambios y hemos permitido que algunas variables
de entorno vuelvan al entorno de ejecución privilegiado. Esta es,
por tanto, la actualización.</p>
<p>La opción de configuración "env_reset" se activa ahora de forma predefinida.
Sólo se preservan las variables de entorno HOME, LOGNAME, PATH,
SHELL, TERM, DISPLAY, XAUTHORITY, XAUTHORIZATION, LANG, LANGUAGE,
LC_*, y USER, además de las variables apartadas de SUDO_*.</p>
<p>Para una mejor comprensión del problema y de la solución, se
reproduce a continuación el texto del aviso original:</p>
<blockquote>
<p>Se ha descubierto que sudo, un programa privilegiado, que proporciona
privilegios limitados de administrador a usuarios específicos, pasaba
variables de entorno al programa que se ejecutaba con privilegios
elevados. En el caso de incluir rutas (por ejemplo, para Perl, Python,
Ruby u otros lenguajes de guiones), podía provocar la ejecución de
código arbitrario como usuario privilegiado si el atacante apuntara
a una versión manipulada de la biblioteca del sistema.</p>
<p>Esta actualización altera el comportamiento anterior de sudo y limita
el número de variables de entorno admisibles a LC_*, LANG, LANGUAGE
y TERM. Sólo se pueden pasar las variables adicionales que estén
definidas en env_check, en /etc/sudoers, que pueden necesitar algunos
guiones para seguir funcionando.</p>
</blockquote>
<p>Para la distribución estable anterior (woody), este problema se ha
corregido en la versión 1.6.6-1.6.</p>
<p>Para la distribución estable (sarge), este problema se ha corregido en
la versión 1.6.8p7-1.4.</p>
<p>Para la distribución inestable (sid), este mismo problema se corregirá
pronto.</p>
<p>Le recomendamos que actualice el paquete sudo. En la distribución
inestable, es necesario añadir manualmente
"Defaults = env_reset" a /etc/sudoers.</p>
</define-tag>
# do not modify the following line
#include "$(ENGLISHDIR)/security/2006/dsa-946.data"
# $Id$
|
