apt-get 업그레이드 중에 sudo 권한이 시간 초과되지 않습니다

다음을 고려하십시오. $sudo apt-get upgrade"Y \ n"확인으로 업그레이드해야 할 항목을 입력 하고 목록을 얻습니다. 목록을 읽고 "Y"또는 "n"을 입력하기 전에 전화 벨이 울리거나 상사가 들어 오거나 다른 일을합니다. 한 시간 후에 다시 와서 Y를 눌러 업데이트를 설치하십시오.

암호를 묻는 메시지가 다시 표시되지 않습니다. 아마도 타이머가 사용자 입력을 기다리는 동안 대기했기 때문에 쉘에서 더 이상 sudo 명령이 실행됩니다. 또는 사용자는 업데이트 프로세스를 sudo -i중단하고 비슷한 작업을 수행하고 무한정 루트에 머물 수 있습니다.

우분투 메이트 14.04를 사용하고 있습니다.

이것은 주목할만한 보안 예외입니까? 어떤 장소에 신고해야합니까? 그렇다면 어디서?

sudo작업을 마치고 apt-get루트로 시작 했기 때문에 암호를 묻는 메시지가 표시되지 않습니다 . 프롬프트 상태 인 동안 apt-get프로세스는 여전히 실행 중이므로 루트로 실행 중이므로 비밀번호를 다시 입력 할 필요가 없습니다.

다시 말해, sudo'ed 프로세스가 실행되고있는 한 해당 프로세스에 대한 비밀번호를 다시 입력하라는 메시지가 표시되지 않습니다. sudo15 분 (기본 시간 초과)마다 프로세스를 중단하지 않고 비밀번호를 요청합니다.

이제 다른 터미널을 열고 아래 sudo에서 다른 프로세스를 실행하려고하면 암호를 묻는 메시지 가 나타납니다 .

sudo의 기본 timestamp_timeout변수는 15 분입니다. 이것은 sudo apt-get upgrade15 분 내에 n을 클릭 하면로 루트 쉘을 입력 할 수 있음을 의미합니다 sudo -i. 정확히 일어난 일입니다. 그러나, 경우에 있다는 설정 /etc/sudoers으로 Default timestamp_timeout 0, 당신은 그것을 위해 모든 시간을하라는 메시지가 표시됩니다. 개인적으로 3으로 설정했습니다. 15 분 후에도 sudo가 시간 초과되지 않으면 sudo바이너리에 심각한 문제가있는 것 입니다.

이 동작은 보안 허점이 아니라 sudo 사용자에게 "편의 기능"입니다. 그러나 보안을 강화하려면 timestamp_timeout15 분보다 훨씬 짧은 시간을 설정 해야한다는 데 동의합니다 .

참고 : passwd_timeout내 의견에서 언급 한 옵션은 x 분 동안 암호를 입력하지 않으면 실제로 암호 프롬프트를 시간 초과합니다. 그것은 당신이 man sudoers훨씬 더주의 깊게 읽어야한다는 것을 깨닫는 좋은 순간 중 하나입니다 .

난 당신이 입력 제안 sudo apt-get upgrade && exit업그레이드를 마친 후 터미널을 종료합니다이. 업그레이드가 취소되면 터미널이 닫히지 않지만 실제로는 그렇지 않습니다.