作为 Linux 中最常使用的重要实用程序之一，Sudo 几乎安装在每一款 UNIX 和 Linux 发行版上，以便用户调用和实施核心命令。  然而近期曝出的一个提权漏洞，却直指 sudo 的一个安全策略隐患  —— 即便配置中明确不允许 root 用户访问，该漏洞仍可允许恶意用户或程序，在目标 Linux 系统上以 root 用户身份执行任意命令。
　　（题图 via Hacker News ）
　　据悉，Sudo 特指“超级用户”。作为一个系统命令，其允许用户以特殊权限来运行程序或命令，而无需切换使用环境（通常以 root 用户身份运行命令）。
　　默认情况下，在大多数 Linux 发行版中（如屏幕快照所示），/ etc / sudoers 的 RunAs 规范文件中的 ALL 关键字，允许 admin 或 sudo 分组中的所有用户，以系统上任何有效用户的身份运行任何命令。
　　然而由于特权分离是 Linux 中最基本的安全范例之一，因此管理员可以配置 sudoers 文件，来定义哪些用户可以运行哪些命令。
　　这样一来，基板限制了用户以 root 身份运行特定或任何命令，该漏洞也可允许用户绕过此安全策略，并完全控制系统。
　　Sudo 开发者称： “只要 Runas 规范明确禁止 root 访问、首先列出 ALL 关键字，具有足够 sudo 权限的用户就可以使用它来以 root 身份运行命令。”
　　据悉，该漏洞由 苹果 信息安全部门的 Joe Vennix 追踪发现（CVE-2019-14287）。且想要利用这个 bug，只需 Sudo User ID -1 或 4294967295 。
　　这是因为将用户 ID 转换为用户名的函数，会将 -1（或无效等效的 4294967295）误认为 0，而这正好是 root 用户 User ID 。
　　此外，由于通过 -u 选项指定的 User ID 在密码数据库中不存在，因此不会运行任何 PAM 会话模块。
　　综上所述，该漏洞影响最新版本 1.8.28 之前的所有 Sudo 版本。庆幸的是，几个小时前，各大 Linux 发行版都已经在向用户推送新版本了。
　　【来源：cnBeta.COM】

英雄萨姆厂商新作人渣新演示下雨湿身会生病！英雄萨姆厂商Croteam联合Gamepires打造的新作人渣（SCUM），日前公布了新的游戏演示，这款2016年在科隆展上就早已公布，是一款开放世界求生ldquo逃杀rdquo游漫画家维权再引热议盗版网站收益或流向恐怖组织！近日，日本一位同人漫画家ldquohalrdquo检举几家未经授权擅自刊登并提供下载自己作品的盗版网站，引起网友们关于盗版和正版商业利益之间的讨论，甚至有网友认为，如果取缔所有动漫PS4蜘蛛侠设计总监已通关三遍游戏每次都得好几天PS4独占蜘蛛侠游戏将在今年早些时候推出，目前游戏已经进入到了ldquo最后排除BUG阶段rdquo，制作人员都开始玩起游戏进行测试。而最近，本作的设计总监BrianHorton表堡垒之夜下周或将无法登录努力修复CPU漏洞！堡垒之夜的开发人员昨日表示，EpicGames试图保护其云服务器免受MeltdownCPU漏洞带来的困扰，可能会使一些玩家在接下来的一周内难以登陆游戏。MeltdownCPU漏洞于剑刃遗产预兆新预告公布探索古代大不列颠在剑刃遗产预兆中，玩家将扮演尤瑟（Uther），带领一群装备破烂的战士，寻找传说中的神剑。队友中有法师野蛮人弓箭手和盗贼，每个人都有不同的技能和战斗风格，在网格战场上通过各种策略发美国一女大学生宣布将和俄罗斯方块结婚！一位来自佛罗里达州的年轻女士分享了她计划在大学毕业后将和电子游戏俄罗斯方块结婚的消息。根据外媒Mirror报道，这位名叫NoorulMahjabeenHassan的女大学生是一名恋SE最终幻想8未来或将在iOS和PS4上重制推出？最终幻想8算是不少天朝玩家接触最终幻想系列的第一部作品，该作品的相邻作品，7和9都已经以重制等形式出现在其他平台上，日前DAMAMEArcadeChannel采访了北濑佳范（监制多新傲气雄鹰周年版将发行实体版登陆PS4和PSV昨天LimitedRunGames宣布最新的傲气雄鹰周年版将登陆PS4和PSV，发行实体版。傲气雄鹰周年版是倍受欢迎的傲气雄鹰重制版。这款游戏由单人和合作战役模式组成，玩家必须从邪想要便捷收款这样设置制作微信收款二维码虽然国家刚刚出台了政策，限制了二维码收款不得超过500元。但是，鉴于二维码收款的便利性，这种全民移动支付的潮流不可阻挡。那下面小编给大家介绍一下，制作微信收款二维码的具体步骤以iO创造自己喜欢的世界诞辰之始即将推出Switch版近日诞辰之始官方宣布本作将推出Switch版，2018年3月29日发售，游戏售价5799日元（约330元人民币）。诞辰之始是由牧场物语之父和田康宏最新打造的游戏作品，玩家在游戏中可女子玩跳一跳想得第一找代练被盗刷200多元近日，一款微信小游戏刷爆了朋友圈，大家都在比小程序里的跳一跳谁的积分高，南京市民黄小姐就是其中之一。为了让自己的分数变成第一，她网上找代练，没想到分没刷上去钱还损失了200多元。报