Linux/Unix平台知名管理工具Sudo爆发漏洞，可让用户触发缓冲溢出，取得根账号权限。所幸Sudo维护组织已经修补该漏洞并发布最新版本。
Sudo是Unix/Linux平台管理广受欢迎的工具，它让系统管理员可分配给一般用户合理的权限，以执行一些只有管理员或其他特定账号才能完成的任务。
最新编号CVE-2019-18634的漏洞，出在一个pwfeedback的功能选项中。这个功能让系统可以星号字符表示目前输入的字符长度，原本是提升安全性的功能，但苹果信息安全研究员Joe Vennix发现，sudoer文件打开pwfeedback功能后，可能让用户触发堆栈式（stack-based）缓冲溢出攻击，让没有系统管理权限的用户、甚至连非列于sudoer文件中的用户得以提升到根账号。由于攻击者完全掌控数据控制权以发动缓冲溢出，因此本漏洞被开采几率极高。
Sudo维护组织指出，Sudo 1.7.1到1.8.25p1都受本漏洞影响，不过前提是系统管理员需打开pwfeedback，未打开者就不需要担心。另外，1.8.26到1.8.30版也出现CVE-2019-18634，但1.8.26版本时曾变更EOF（end of file）处理的设置，致使该漏洞无法被开采。
Pwfeedback在sudo上游版本中默认关闭，但在Linux Mint及Elementary OS中却是默认打开的。所幸Sudo组织已经发布最新版1.8.31版，应该也会很快部署到所有主要Linux发行版或macOS中。
如果尚未能安装更新版本，在打开pwfeedback的sudoer档内，将“Defaults pwfeedback”改成“Defaults !pwfeedback”，也能有效阻止攻击。