De ontwikkelaar van het programma sudo heeft een beveiligingsupdate uitgebracht voor een kwetsbaarheid waardoor gebruikers in bepaalde configuraties commando's als root konden uitvoeren terwijl dit eigenlijk niet was toegestaan. In de standaardconfiguratie was sudo niet kwetsbaar.

Sudo maakt het mogelijk om programma's uit te voeren met de rechten van een andere gebruiker. De kwetsbaarheid deed zich voor wanneer een gebruiker commando's als willekeurige andere gebruikers behalve root kon uitvoeren. In dit geval kon een gebruiker met voldoende sudo-rechten deze beperking omzeilen en toch commando's als root uitvoeren.

Om de kwetsbaarheid te misbruiken moest een gebruiker sudo-rechten hebben om commando's met een willekeurig gebruikers-ID uit te voeren. "Dit houdt normaliter in dat de sudoers entry van de gebruiker de speciale waarde ALL in de Runas specifier heeft. Als een sudoers entry toestaat dat de gebruiker commando's als elke gebruiker behalve root mag uitvoeren, is het via dit lek mogelijk om deze beperking te omzeilen", aldus de uitleg van de kwetsbaarheid.

Het beveiligingslek, dat alleen lokaal is te misbruiken, werd gevonden door Apple-onderzoeker Joe Vennix. Op een schaal van 1 tot en met 10 wat betreft de ernst van de kwetsbaarheid is die door Red Hat met een 7,8 beoordeeld. Gebruikers krijgen het advies om te updaten naar sudo 1.8.28. Verschillende Linux-distributies hebben inmiddels updates uitgebracht, zo meldt het Nationaal Cyber Security Centrum (NCSC).