CVE-2025-32463
Sudo Inclusion of Functionality from Untrusted Control Sphere Vulnerability
Beschreibung
CVE-2025-32463 ist eine kritische Schwachstelle in Sudo, dem zentralen Werkzeug fuer Berechtigungserhoehung auf Unix-Systemen. Die Schwachstelle ermoeglicht es lokalen Benutzern, Root-Rechte zu erlangen, indem die Option --chroot ausgenutzt wird, um eine manipulierte /etc/nsswitch.conf aus einem benutzergesteuerten Verzeichnis zu laden. Sudo-Versionen vor 1.9.17p1 sind betroffen.
Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.3 (CRITICAL) bewertet. Die CISA hat CVE-2025-32463 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 20. Oktober 2025. Der EPSS-Score von 20.77 % (95. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Da Sudo auf nahezu jedem Unix-/Linux-System installiert ist, betrifft diese Schwachstelle eine enorme Anzahl von Systemen, darunter Distributionen wie Ubuntu, Debian, Red Hat Enterprise Linux, SUSE und openSUSE.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| sudo project | sudo | >= 1.9.14, < 1.9.17; 1.9.17 |
| canonical | ubuntu linux | 22.04; 24.04; 24.10; 25.04 |
| debian | debian linux | 11.0; 12.0; 13.0 |
| opensuse | leap | 15.6 |
| redhat | enterprise linux | 10.0 |
| suse | linux enterprise desktop | 15 |
| suse | linux enterprise real time | 15.0 |
| suse | linux enterprise server for sap | 12 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://access.redhat.com/security/cve/cve-2025-32463(Third Party Advisory)
- https://bugs.gentoo.org/show_bug.cgi?id=CVE-2025-32463(Issue Tracking, Third Party Advisory)
- https://explore.alas.aws.amazon.com/CVE-2025-32463.html(Third Party Advisory)
- https://security-tracker.debian.org/tracker/CVE-2025-32463(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-7604-1(Third Party Advisory)
- https://www.openwall.com/lists/oss-security/2025/06/30/3(Third Party Advisory)
- https://www.secpod.com/blog/sudo-lpe-vulnerabilities-resolved-what-you-need-to-know-about-cve-2025-32462-and-cve-2025-32463/(Exploit, Third Party Advisory)
- https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot(Exploit, Third Party Advisory)
- https://www.sudo.ws/releases/changelog/(Release Notes)
- https://www.sudo.ws/security/advisories/(Vendor Advisory)
- https://www.sudo.ws/security/advisories/chroot_bug/(Vendor Advisory)
- https://www.suse.com/security/cve/CVE-2025-32463.html(Third Party Advisory)
- https://www.suse.com/support/update/announcement/2025/suse-su-202502177-1/(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-32463-detect-sudo-vulnerability(Third Party Advisory)
- https://www.vicarius.io/vsociety/posts/cve-2025-32463-mitigate-sudo-vulnerability(Mitigation, Third Party Advisory)
- https://iototsecnews.jp/2025/07/01/linux-sudo-chroot-vulnerability-enables-hackers-to-elevate-privileges-to-root/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-32463(US Government Resource)
Schwachstellentyp
CWE-829: Einbindung von Funktionalitaet aus nicht vertrauenswuerdiger Kontrollsphaere
CVE-2025-32463 basiert auf CWE-829, einer Schwachstellenklasse, bei der Software ausfuehrbare Funktionalitaet aus einer Quelle importiert, die ausserhalb der beabsichtigten Kontrollsphaere liegt. Im Fall von Sudo laedt der Prozess die Datei /etc/nsswitch.conf aus einem benutzergesteuerten chroot-Verzeichnis. Ein lokaler Angreifer kann eine manipulierte nsswitch.conf bereitstellen, die Sudo dazu bringt, boeswillige NSS-Module (Shared Libraries) zu laden, die dann mit Root-Rechten ausgefuehrt werden.
Mehr erfahren: CWE-829 -- Einbindung von Funktionalitaet aus nicht vertrauenswuerdiger Kontrollsphaere
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-32463 sind fuer alle Organisationen, die Unix-/Linux-Systeme betreiben, ausserordentlich schwerwiegend. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff lokal (AV:L) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) durchfuehrbar ist. Besonders kritisch ist der veraenderte Scope (S:C), was bedeutet, dass der Angriff Ressourcen ueber die verwundbare Komponente hinaus beeinflussen kann. Vertraulichkeit (Hoch): Mit Root-Rechten erhaelt der Angreifer Zugriff auf alle Daten des Systems, einschliesslich Schattendateien, kryptografischer Schluessel und Konfigurationen aller Dienste. Integritaet (Hoch): Root-Zugriff ermoeglicht die vollstaendige Modifikation des Systems, Installation von Rootkits und Manipulation aller Daten. Verfuegbarkeit (Hoch): Der Angreifer kann das System vollstaendig kontrollieren, Dienste stoppen oder das System zerstoeren. Der EPSS-Score von 20.77 % im 95. Perzentil unterstreicht die hohe Ausnutzungswahrscheinlichkeit.
Exploit-Reifegrad
CVE-2025-32463 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle in den KEV-Katalog aufgenommen. Oeffentliche Exploit-Informationen und Analysen sind verfuegbar ueber SecPod Blog und Stratascale, die beide als Exploit- und Third-Party-Advisory-Referenzen gekennzeichnet sind. Sudo hat in seinem offiziellen Security Advisory die Schwachstelle bestaetigt. Der EPSS-Score von 20.77 % (95. Perzentil) zeigt, dass CVE-2025-32463 zu den Top 5 % der am staerksten ausgenutzten Schwachstellen gehoert. Der Ransomware-Status ist als Unknown klassifiziert, jedoch ist eine Privilege-Escalation-Schwachstelle in Sudo ein ideales Werkzeug fuer die laterale Bewegung innerhalb kompromittierter Netzwerke.
Behebung
-
Sudo umgehend aktualisieren: Aktualisieren Sie Sudo auf Version 1.9.17p1 oder hoeher. Betroffen sind Sudo-Versionen ab 1.9.14 bis vor 1.9.17p1 sowie Version 1.9.17 ohne Patch. Pruefen Sie die Update-Verfuegbarkeit ueber den Paketmanager Ihrer Distribution.
-
Distributions-Patches installieren: Fuer die gaengigen Linux-Distributionen sind Sicherheitsupdates verfuegbar: Ubuntu (USN-7604-1), Debian, Red Hat Enterprise Linux 10.0, SUSE Linux Enterprise und openSUSE Leap 15.6. Installieren Sie die distributionsspezifischen Patches umgehend.
-
Chroot-Option deaktivieren: Falls die --chroot-Option von Sudo nicht benoetigt wird, koennen Sie deren Verwendung in der sudoers-Konfiguration einschraenken oder deaktivieren, um den Angriffsvektor zu eliminieren.
-
Systeme auf Kompromittierung pruefen: Untersuchen Sie alle Systeme mit verwundbaren Sudo-Versionen auf Anzeichen einer Privilege Escalation. Pruefen Sie Sudo-Logs auf ungewoehnliche Verwendung der --chroot-Option und suchen Sie nach verdaechtigen NSS-Modulen in benutzergesteuerten Verzeichnissen.
-
Langfristige Haertung umsetzen: Implementieren Sie das Prinzip der minimalen Rechte in der sudoers-Konfiguration. Beschraenken Sie die verfuegbaren Sudo-Optionen fuer nicht-administrative Benutzer und ueberwachen Sie Sudo-Ausfuehrungen zentralisiert.
Technische Details
CVE-2025-32463 betrifft den chroot-Mechanismus von Sudo. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff lokal (AV:L) mit niedriger Komplexitaet (AC:L) und ohne Authentifizierung (PR:N) oder Benutzerinteraktion (UI:N) durchfuehrbar ist. Der veraenderte Scope (S:C) ist besonders bemerkenswert.
Die Schwachstelle liegt in der Art, wie Sudo die --chroot-Option verarbeitet. Wenn sudo mit --chroot aufgerufen wird, wechselt der Prozess in ein angegebenes Root-Verzeichnis. Vor Version 1.9.17p1 laed Sudo nach dem chroot-Wechsel die Datei /etc/nsswitch.conf aus dem neuen Root-Verzeichnis, nicht aus dem originalen Dateisystem. Da der aufrufende Benutzer das chroot-Verzeichnis kontrolliert, kann er eine manipulierte nsswitch.conf bereitstellen, die Sudo anweist, boeswillige NSS-Module als Shared Libraries zu laden. Diese werden dann im Kontext des Sudo-Prozesses mit Root-Rechten ausgefuehrt.
Betroffen sind Sudo-Versionen ab 1.9.14 bis vor 1.9.17p1 sowie Version 1.9.17. Der Fix in Version 1.9.17p1 stellt sicher, dass die nsswitch.conf aus dem originalen Dateisystem geladen wird, bevor der chroot-Wechsel stattfindet. Zahlreiche Distributionen sind betroffen, darunter Ubuntu 22.04/24.04/24.10/25.04, Debian 11/12/13, Red Hat Enterprise Linux 10.0, SUSE Linux Enterprise und openSUSE Leap 15.6.
Häufig gestellte Fragen
Wird CVE-2025-32463 aktiv ausgenutzt?
Ja, CVE-2025-32463 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Oeffentliche Exploit-Analysen sind verfuegbar. Der EPSS-Score von 20.77 % (95. Perzentil) zeigt, dass die Schwachstelle zu den Top 5 % der am staerksten ausgenutzten gehoert.
Welche Produkte sind von CVE-2025-32463 betroffen?
Betroffen ist Sudo in den Versionen ab 1.9.14 bis vor 1.9.17p1 sowie Version 1.9.17. Da Sudo auf nahezu allen Unix-/Linux-Systemen installiert ist, sind zahlreiche Distributionen betroffen, darunter Ubuntu, Debian, Red Hat Enterprise Linux, SUSE Linux Enterprise und openSUSE.
Wie behebe ich CVE-2025-32463?
Aktualisieren Sie Sudo auf Version 1.9.17p1 oder hoeher. Installieren Sie distributionsspezifische Sicherheitsupdates ueber den Paketmanager. Falls die --chroot-Option nicht benoetigt wird, koennen Sie deren Verwendung in der sudoers-Konfiguration einschraenken.
Wie schwerwiegend ist CVE-2025-32463?
CVE-2025-32463 ist mit einem CVSS-Score von 9.3 als CRITICAL eingestuft. Die Schwachstelle ermoeglicht lokalen Benutzern die Erlangung von Root-Rechten mit veraendertem Scope. Der EPSS-Score von 20.77 % im 95. Perzentil zeigt eine hohe Ausnutzungswahrscheinlichkeit.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.