ubuntuusers.de

Haarsträubend, wenn es wirklich so ist. Leider kann ich es in Ermangelung einer aktuellen Installation nicht nachprüfen, aber wenn das stimmt, dann...

Steht die Systemzeit auf 0, dann lässt sudo die Root-Rechte auch ohne Passwort zu.

Da hilft nur eins: Runter mit dem sudo-Kram und wieder 'nen richtigen root verwenden - ist eh der bessere Weg!

-totschka-

Dir ist schon klar, dass der 1. April noch einen Monat weg ist?

Der Bug ist schon ernst gemeint. Er wurde aber schon gefixt:

sudo 1.8.3p1-1ubuntu3.4: https://lists.ubuntu.com/archives/precise-changes/2013-February/018797.html

glasenisback schrieb:

Er wurde aber schon gefixt

Ah interessant bin seit heute mit sudo 1.8.5p2 unterwegs.

12.04 LTS nutzt noch 1.8.3:

1
2
3
4
5

sudo -V
Sudo-Version 1.8.3p1
Sudoers policy plugin version 1.8.3p1
Sudoers file grammar version 40
Sudoers I/O plugin version 1.8.3p1

Na toll. Und jetzt?

Wer einem normalen Nutzer erlaubt, die Systemzeit zu ändern, sollte mit Problemen rechnen, auch ohne sicherheitskritische Bugs.

user unknown schrieb:

12.04 LTS nutzt noch 1.8.3:

1 2 3 4 5

sudo -V Sudo-Version 1.8.3p1 Sudoers policy plugin version 1.8.3p1 Sudoers file grammar version 40 Sudoers I/O plugin version 1.8.3p1

Was auch richtig ist, da in bereits veröffentlichten Version Pakete nur noch bugfixes & Sicherheitpatches erhalten (es gibt auch Ausnahmen, z.B. Firefox, LibreOffice, ...):

sudo 1.8.3p1-1ubuntu3.4 Changelog (12.04)

Probier mal

dpkg-query -l sudo

Zeitnahe Informationen zu den Sicherheitsupdates findet man auch auf Ubuntu:Security Notes. Man kann es nach Versionen, also 12.04, 12.10,usw. filtern →

usn-1754-1

@ BillMaier: Hoffentlich bist Du nun wieder beruhigt 😉

Einzig und allein bleibt spannend was passiert, wenn die CMOS-Batterie mal nicht mehr will und "leer" ist. CR-2032 hab ich immer in Reserve, beim Läppi sieht's schon anders aus...

diesch schrieb:

Wer einem normalen Nutzer erlaubt, die Systemzeit zu ändern, sollte mit Problemen rechnen, auch ohne sicherheitskritische Bugs.

Linus gibt dir folgenden Ratschlag dazu:

So here's a plea: if you have anything to do with security in a distro, and think that my kids (replace "my kids" with "sales people on the road" if you think your main customers are businesses) need to have the root password to access some wireless network, or to be able to print out a paper, or to change the date-and-time settings, please just kill yourself now. The world will be a better place.

diesch schrieb:

Wer einem normalen Nutzer erlaubt, die Systemzeit zu ändern, sollte mit Problemen rechnen, auch ohne sicherheitskritische Bugs.

Aber das kann ich doch über die grafische Oberfläche (zumindest mit KDE) - ich bin zwar in sudoers, muss aber mein Passwort nicht nochmal angeben. Gehört das so?

BillMaier schrieb:

diesch schrieb:

Wer einem normalen Nutzer erlaubt, die Systemzeit zu ändern, sollte mit Problemen rechnen, auch ohne sicherheitskritische Bugs.

Aber das kann ich doch über die grafische Oberfläche (zumindest mit KDE) - ich bin zwar in sudoers, muss aber mein Passwort nicht nochmal angeben. Gehört das so?

Kommt darauf an. Außerdem ist gelten die Rechte für eine Zeit (ich glaube 15 min). Einfach ausloggen und nochmal testen. Bei Aktualisierungen braucht es keine Passworteingabe. Aber das wurde im Forum schon zuhauf besprochen.