NVD Vulnerability Detail

CVE-2012-2337

Summary	sudo 1.6.x and 1.7.x before 1.7.9p1, and 1.8.x before 1.8.4p5, does not properly support configurations that use a netmask syntax, which allows local users to bypass intended command restrictions in opportunistic circumstances by executing a command on a host that has an IPv4 address.
Publication Date	May 19, 2012, 3:55 a.m.
Registration Date	Jan. 28, 2021, 2:57 p.m.
Last Update	Nov. 21, 2024, 10:38 a.m.

Affected software configurations

Related information, measures and tools

No	URL	タグ
1	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/081432.html
2	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/081432.html
3	http://secunia.com/advisories/49219
4	http://secunia.com/advisories/49219
5	http://secunia.com/advisories/49244
6	http://secunia.com/advisories/49244
7	http://secunia.com/advisories/49291
8	http://secunia.com/advisories/49291
9	http://secunia.com/advisories/49948
10	http://secunia.com/advisories/49948
11	http://www.debian.org/security/2012/dsa-2478
12	http://www.debian.org/security/2012/dsa-2478
13	http://www.mandriva.com/security/advisories?name=MDVSA-2012:079
14	http://www.mandriva.com/security/advisories?name=MDVSA-2012:079
15	http://www.securitytracker.com/id?1027077
16	http://www.securitytracker.com/id?1027077
17	http://www.sudo.ws/sudo/alerts/netmask.html	Vendor Advisory
18	http://www.sudo.ws/sudo/alerts/netmask.html	Vendor Advisory
19	https://bugzilla.redhat.com/show_bug.cgi?id=820677
20	https://bugzilla.redhat.com/show_bug.cgi?id=820677
21	https://www.suse.com/security/cve/CVE-2012-2337/
22	https://www.suse.com/security/cve/CVE-2012-2337/

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-264	認可・権限・アクセス制御	https://cwe.mitre.org/data/definitions/264.html

JVN Vulnerability Information

sudo におけるコマンドの制限を回避される脆弱性

Title	sudo におけるコマンドの制限を回避される脆弱性
Summary	sudo はネットマスクの構文 (netmask syntax) を使用した設定を適切にサポートしないため、コマンドの制限を回避される脆弱性が存在します。
Possible impacts	ローカルユーザにより、IPv4 アドレスを持つホスト上でコマンドを実行されることで、コマンドの制限を回避される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	May 18, 2012, midnight
Registration Date	May 22, 2012, 11:39 a.m.
Last Update	Sept. 4, 2012, 5:45 p.m.

Affected System

Todd C. Miller

Sudo 1.6.x

Sudo 1.7.9p1 未満の 1.7.x

Sudo 1.8.4p5 未満の 1.8.x

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2012-2337	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-2337
National Vulnerability Database (NVD)
2	CVE-2012-2337	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2012-2337
SECURITY BLOG
3	CVE-2012-2337 Restriction bypass vulnerability in Sudo	http://blogs.oracle.com/sunsecurity/entry/cve_2012_2337_restriction_bypass

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-264	https://jvndb.jvn.jp/ja/cwe/CWE-264.html

ベンダー情報

No	Name	URL
Debian セキュリティ勧告
1	DSA-2478	http://www.debian.org/security/2012/dsa-2478
Fedora Update Notification
2	FEDORA-2012-7998	http://lists.fedoraproject.org/pipermail/package-announce/2012-May/081432.html
Red Hat Bugzilla
3	Bug 820677	https://bugzilla.redhat.com/show_bug.cgi?id=820677
Security Advisories
4	MDVSA-2012:079	http://www.mandriva.com/en/support/security/advisories/?name=MDVSA-2012:079
Sudo Security Alerts
5	IP addresses in sudoers with netmask may match additional hosts	http://www.sudo.ws/sudo/alerts/netmask.html

Change Log

No	Changed Details	Date of change
0	[2012年05月22日] 掲載 [2012年06月27日] ベンダ情報：Debian (DSA-2478) を追加ベンダ情報：レッドハット (Bug 820677) を追加ベンダ情報：Mandriva, Inc. (MDVSA-2012:079) を追加 [2012年07月23日] ベンダ情報：オラクル (CVE-2012-2337 Restriction bypass vulnerability in Sudo) を追加 [2012年09月04日] ベンダ情報：Fedora Project (FEDORA-2012-7998) を追加	Feb. 17, 2018, 10:37 a.m.