"TODO TODO = (TODO) NOPASSWD: TODO" se agregó automáticamente en mi archivo / etc / sudoers. ¿Es esto una violación de seguridad?

ALL ALL=(ALL) NOPASSWD:ALLLa línea se agregó automáticamente dos veces al final de mi /etc/sudoersarchivo.

Mi Linux de repente dejó de pedir una contraseña cada vez que ejecutaba un comando sudo. Esto me hizo investigar el problema.
Incluso después de ejecutar sudo -kpara restablecer el tiempo de gracia, no me pediría mi contraseña.
Descubrí el significado de esa línea y comenté las 2 líneas para solucionar el problema y las cosas volvieron a la normalidad.

Pero según mis búsquedas, el archivo sudoers solo se edita manualmente y de ninguna manera podría haber dado a TODOS los usuarios permisos NOPASSWD para TODOS los comandos. ¿Podría esto significar que un script que ejecuté cambió el archivo sudoers? ¿Es esto motivo de preocupación?

SO: Linux Mint 18.3 Cinnamon

security sudo

— Neon44
fuente

Quien sea, o lo que sea, agregó esa línea sudoerspara tener privilegios de root para hacerlo.

— roaima

Eso es ciertamente un motivo de preocupación. ¿Puede vincular el último tiempo de modificación de / etc / sudoers a algún evento (en registros o tiempos de modificación de otros archivos)

— Stéphane Chazelas

Posibilidad muy remota, pero ¿ sudo grep -rl 'NOPASSWD:ALL' /etc /lib /usr /var /home /rootdevuelve algo que no sea / etc / sudoers?

— roaima

@roaima seguramente lo intentará.

— Neon44

@roaima ¡Oh, espera! grepTambién ha regresado /home/neon/HUAWEI-4g_Dongle/Linux/install. Creo que he encontrado el problema. Había ejecutado el script de instalación para el dongle HUAWEI 4g https://pastebin.com/e37GGKsu . Lo más probable es que haya pasado por esto.

— Neon44

Después de ejecutar este comando

sudo grep -rl 'NOPASSWD:ALL' /etc /lib /usr /var /home /root

Aconsejaste que varios archivos coinciden:

/etc/sudoers
/usr/lib/snapd/snapd
/var/log/auth.log
/home/neon/HUAWEI-4g_Dongle/Linux/install

Se puede esperar razonablemente que los primeros tres de estos archivos contengan una coincidencia, y se pueden ignorar de forma segura. El cuarto, por otro lado, parece ser un posible culpable y requiere más investigación.

De hecho, su pastebin muestra estos fragmentos:

SOFTWARENAME="Mobile Partner"
SOFTWARENAME=$(echo $SOFTWARENAME | sed s\#\ \#_\#g)
TEMPFILE="${SOFTWARENAME}_install_$PPID"
... 

grep -v "MobilePartner.sh" /etc/sudoers >/tmp/${TEMPFILE} 2>&1
echo -e "ALL ALL=(ALL) NOPASSWD:ALL" >> /tmp/${TEMPFILE}
...

cp -f /tmp/${TEMPFILE} /etc/sudoers

Sí, diría que es un agujero de seguridad (terrible) de un código de calidad bastante pésimo.

Después de haber eliminado (o comentado) las líneas de su /etc/sudoersarchivo, también le recomendaría que verifique los permisos en ese archivo. Deben ser ug=r,o=( 0440= r--r-----), probablemente propiedad de root: root.

— roaima
fuente

Verificado los permisos de archivo para ser 0440. Parece que fue un script de instalación realmente malo que vino incluido con el dongle. Muchas gracias !

— Neon44

¡Guau, buena idea para grep 'NOPASSWD: ALL' / etc / lib / usr / var / home / root!

— Fin de semana