在一个新发现和严重缺陷须藤命令可以，如果利用，使用户能够在尽管事实上作为root运行该命令的语法在/ etc / sudoers文件文件明确这样做不允许他们。
更新须藤到28年1月8日版本应该解决的问题，并鼓励Linux的管理员这么尽快做。
如何漏洞可能被利用取决于授予特定权限在/ etc / sudoers文件文件。它允许用户编辑文件，只是根任何用户的规则，例如，实际上将允许用户编辑文件的根为好。在这种情况下，该缺陷可能导致非常严重的问题。
对于用户利用该缺陷，用户需要在分配权限在/ etc / sudoers文件文件，该文件允许用户运行的一些其他用户的命令，并且该缺陷被限制于在这种方式分配了命令的权限。
此问题影响之前，28年8月1日的版本。要检查你的sudo版本，使用这个命令：
$ sudo的-V须藤版27年8月1日<===sudoers的政策插件版本27年1月8日sudoers文件语法版本46 sudoers文件I / O插件27年1月8日版本
该漏洞已经被分配CVE-2019-14287在里面通用漏洞披露数据库。风险在于，谁被赋予为任意用户运行，即使单个命令的能力，任何用户可以逃脱限制和运行命令，作为根 - 即使指定的特权被写入不允许运行的命令，作为根。
下面几行是为了给用户“JDOE”的能力，编辑文件与六作为除了根的任何用户（！根指“未根”）和尼莫运行右ID命令，除了根的任何用户：
＃在主机 “蜻蜓” JDOE蜻蜓=（ALL，！根）受影响的条目在/ usr / bin中/六尼莫蜻蜓=（ALL，！根）的/ usr / bin中/ ID
然而，由于这个安全漏洞，无论是这些用户将能够规避限制和编辑文件或运行ID命令，作为根为好。
该缺陷可以被攻击者通过指定用户ID被利用来运行的命令作为根“-1”或“4294967295”
的“1”的响应表明，命令正在被运行作为root（根示出的用户ID）。
从苹果公司的信息安全乔Vennix都发现和分析问题。