Deux vulnérabilités de type élévation de privilèges locales ont été découvertes dans l’utilitaire sudo, qui permet d’exécuter des commandes en tant que superutilisateur. Identifiées sous les codes CVE‑2025‑32462 et CVE‑2025‑32463, elles sont présentes depuis plusieurs versions et affectent de nombreuses distributions Linux, ainsi que macOS Sequoia — un cas rare de faille présente depuis plus de dix ans infosecurity-magazine.commedium.com+3socprime.com+3cybersecuritynews.com+3.
1. CVE‑2025‑32463 : vulnérabilité dans l’option --chroot
Description : introduite dans sudo 1.9.14, cette faille permet à un utilisateur non privilégié d’utiliser l’option
-R(alias--chroot) pour contourner les protections du système. En créant un environnement chroot contrôlé, le pirate peut forcer sudo à lire un fichier/etc/nsswitch.confmanipulé, entraînant le chargement d’une bibliothèque malveillante et donnant un accès root socprime.com+1cybersecuritynews.com+1.Versions concernées : sudo 1.9.14 à 1.9.17.
Sévérité : Critique — score CVSS estimé aux alentours de 9,8/10 .
Impact : accès root sans authentification, via une simple commande locale.
2. CVE‑2025‑32462 : contournement de restrictions liées à l’hôte
Description : résulte d’un bug vieux de plus de 12 ans affectant la gestion de l’option
-h(host). Elle permet de simuler l’identité de machine via un alias hôte dans sudoers, ce qui autorise un utilisateur à exécuter des commandes root même quand les règles sont censées le restreindre thehackernews.com+6medium.com+6webasha.com+6.Versions concernées : sudo 1.8.8 à 1.9.17 (branches stable et legacy) bleepingcomputer.com+4medium.com+4webasha.com+4.
Sévérité : élevée — exploitation facile sans interaction ou code malveillant.
Impact : privilèges root obtenus via une simple commande légitime (
sudo -h dev-host …).
3. Distribution et gravité
Systèmes exposés : Ubuntu, Fedora, macOS Sequoia, ainsi que de nombreuses distributions traditionnelles Linux medium.com+1webasha.com+1socprime.com+1webasha.com+1.
Nombre d’appareils affectés : estimé entre 30 et 50 millions d’instances sudo déployées infosecurity-magazine.com.
Périmètre d’exploitation : les deux vulnérabilités n’ont besoin que d’un accès local non privilégié (aucune interaction utilisateur ou vecteur réseau requis).
4. Correctifs et mesures à prendre
Solution unique : mise à jour vers sudo 1.9.17p1 ou une version ultérieure. Cette release corrige les deux failles, en supprimant notamment l’option
--chrootvulnérable bleepingcomputer.com+5socprime.com+5cybersecuritynews.com+5.Absence de contournement efficace : aucun workaround n’est fiable. Seule la mise à jour est recommandée .
Recommandations :
Installer la dernière version sudo sur toutes les machines.
Examiner et corriger les configurations hôtes (
Host_Alias,Host) dans/etc/sudoers.Mettre en place une surveillance des commandes
sudo -hetsudoedit -hdans les logs.
5. Pourquoi ces vulnérabilités sont particulièrement graves
Durée d’existence : la vulnérabilité CVE‑2025‑32462 était présente depuis plus de 12 ans sans avoir été détectée thehackernews.com+6medium.com+6webasha.com+6.
Technique d’exploitation simple : pas de code malveillant ; la faille repose sur des comportements standards de l’outil sudo, rendant l’exploitation discrète et potentiellement non détectable via des systèmes de sécurité classiques.
Large impact : sudo est installé par défaut sur presque tous les serveurs Linux/Unix, ce qui en fait une cible universelle.
🛡️ En résumé
Vulnérabilités : CVE‑2025‑32462 (host spoofing) et CVE‑2025‑32463 (–chroot)
Impact : élévation de privilèges locale à root
Systèmes concernés : sudo 1.8.8 à 1.9.17 (Linux, macOS)
Remédiation : mise à jour immédiate vers sudo 1.9.17p1+
Urgence : élevée — la mise à jour doit se faire dans les plus brefs délais.
Sources :
SOCCentre opérationnel chargé de la surveillance et de la réaction à incidents. SOC alerte sur un comportement anormal. ANSSI Prime – exposition des deux vulnérabilités CVE‑2025‑32462/32463 infosecurity-magazine.com+5socprime.com+5cybersecuritynews.com+5
Cybersecurity News – analyse détaillée de CVE‑2025‑32463 cybersecuritynews.com
Medium – origine historique de CVE‑2025‑32462 thehackernews.com+8medium.com+8cybersecuritynews.com+8