Celah sudo chroot CVE-2025-32463 dan Hadirnya sudo-rs

Celah sudo chroot CVE-2025-32463 memungkinkan pengguna lokal biasa naik menjadi root pada sistem Linux yang memakai sudo 1.9.14 sampai 1.9.17, bahkan dengan konfigurasi bawaan. Celah ini diungkap pada 30 Juni 2025, diperbaiki di sudo 1.9.17p1, dan masuk daftar CISA KEV pada 29 September 2025. Per 29 Oktober 2026, celah ini tetap relevan karena Ubuntu 26.04 LTS kini menyertakan sudo-rs, pengganti sudo berbasis Rust.

Ringkasan Celah sudo chroot CVE-2025-32463

• CVE: CVE-2025-32463, ditemukan oleh Rich Mirch dari Stratascale Cyber Research Unit.
• Produk terdampak: sudo stabil 1.9.14 sampai 1.9.17 (sebelum 1.9.17p1). Konfigurasi bawaan sudah rentan. Menurut Stratascale, versi lama hingga 1.8.32 tidak terdampak karena belum memiliki fitur chroot.
• Jenis kerentanan: eskalasi hak akses lokal melalui opsi chroot. Pengguna lokal tanpa hak istimewa dapat memperoleh akses root.
• Skor CVSS 3.1: 7,8 (High) menurut NIST/NVD sebagai penilai primer, dan 9,3 (Critical) menurut MITRE sebagai CNA.
• Status eksploitasi: masuk CISA KEV pada 29 September 2025, tenggat 20 Oktober 2025, yang berarti eksploitasi di dunia nyata sudah teramati.
• Versi perbaikan: sudo 1.9.17p1, dengan opsi chroot dinyatakan usang (deprecated). Status per distro bervariasi.

Apa yang Terjadi: Opsi chroot yang Terlalu Dipercaya

sudo adalah alat yang memberi pengguna biasa hak menjalankan perintah sebagai root sesuai aturan di sudoers. Sejak versi 1.9.14, perubahan pada cara sudo mencocokkan perintah ketika opsi chroot ditentukan membuka celah. Menurut Stratascale, sudo melakukan operasi chroot dengan hak root, termasuk pada jalur yang bisa dikendalikan pengguna biasa. Akibatnya, root dapat memuat konfigurasi name-service dan pustaka yang tidak tepercaya, yang berujung pada eksekusi kode sebagai root.

Poin penting dari Stratascale: celah ini bekerja pada konfigurasi bawaan, dan pengguna tidak perlu memiliki aturan sudo apa pun. Vendor diberi tahu pada 1 April 2025, dan publikasi dilakukan pada 30 Juni 2025. Peneliti yang sama juga menemukan CVE-2025-32462, celah terkait pada opsi host yang dapat mengabaikan pembatasan host di sudoers pada sistem dengan aturan per host. Kami tidak merinci cara memicunya.

Siapa yang Terdampak dan Mengapa Ini Penting

sudo ada di hampir setiap server dan laptop Linux, jadi cakupannya luas. Celah ini bersifat lokal: penyerang perlu sudah punya akses ke sistem, misalnya akun pengguna biasa dari kredensial yang dicuri atau eksekusi kode terbatas lewat aplikasi web. Dari sana, root berarti kendali penuh: membaca semua data, mengubah log, dan menetap di sistem. Eskalasi hak akses adalah langkah standar dalam rantai serangan, sehingga celah seperti ini sering digabung dengan celah lain. Konsep prinsip hak akses minimal dijelaskan di CIA triad dan least privilege.

Menurut pengumuman keamanan Ubuntu (USN-7604-1), masalah chroot berlaku pada Ubuntu 24.04 LTS, 24.10, dan 25.04, tidak pada 22.04 LTS. Paket yang diperbaiki antara lain 1.9.15p5-3ubuntu5.24.04.1 untuk 24.04 LTS. Distribusi lain berbeda-beda; Stratascale menguji celah ini pada Ubuntu 24.04.1 dan Fedora 41 Server. Selalu cek advisori distro Anda, bukan hanya nomor versi upstream.

Cara Memeriksa Paparan sudo chroot dan Menambalnya

1. Cek versi: jalankan sudo --version, lalu bandingkan dengan rentang 1.9.14 sampai 1.9.17. Ingat bahwa distro sering membackport perbaikan tanpa mengubah nomor versi upstream, jadi periksa changelog paket atau advisori distro.
2. Patch: perbarui paket sudo lewat manajer paket distro Anda (misalnya apt atau dnf), atau naikkan ke 1.9.17p1 atau lebih baru bila Anda membangun dari sumber.
3. Tinjau penggunaan chroot: cari pengaturan chroot di /etc/sudoers dan berkas di /etc/sudoers.d. Stratascale menyarankan mencari opsi runchroot dan direktif CHROOT pada aturan individu. Jika aturan disimpan di LDAP, ekspor dan tinjau juga.
4. Tinjau log: cari entri sudo di syslog yang memuat CHROOT=. Itu menandai pemakaian opsi chroot dan layak diselidiki bila tidak Anda kenali.

Mitigasi dan Hardening

Stratascale menyatakan tidak ada workaround untuk celah ini, sehingga tambal adalah satu-satunya perbaikan yang lengkap. Selagi menunggu jadwal patch, kurangi dampak dengan menjaga agar akun lokal tetap sedikit dan terkelola, memakai autentikasi kuat untuk SSH, dan memantau aktivitas sudo yang tidak lazim. Pada lingkungan multi-pengguna seperti server bersama, kampus, atau hosting, prioritaskan penambalan karena banyak pengguna lokal berarti banyak titik awal. Tambahkan pemantauan integritas berkas dan audit log pada host penting. Untuk menentukan urutan penambalan, lihat CISA KEV dan patch management berbasis risiko.

sudo-rs: Apakah Menulis Ulang dengan Rust Menyelesaikan Masalah Ini

sudo-rs adalah reimplementasi sudo yang aman terhadap kesalahan memori, ditulis dalam Rust dan dikembangkan oleh Trifecta Tech Foundation. Canonical menjadikannya bagian dari dorongan komponen memory-safe di Ubuntu 26.04 LTS, yang dirilis pada 23 April 2026 dengan Linux 7.0. Filosofi proyek ini adalah "less is more": fitur sudo yang hanya melayani kasus sangat niche sengaja tidak disertakan.

Sebagai analisis, bukan klaim dari vendor: CVE-2025-32463 pada dasarnya adalah kesalahan batas kepercayaan (root memproses jalur yang dikendalikan pengguna), bukan kerusakan memori klasik. Bahasa yang aman terhadap memori tidak otomatis menghapus kesalahan logika seperti ini, walau permukaan fitur yang lebih kecil memang membantu. CVE-2025-32463 tercatat untuk sudo asli yang ditulis dalam C, bukan untuk sudo-rs. Meski begitu, jangan menganggap alat apa pun kebal hanya karena ditulis dalam Rust; ikuti advisori keamanan sudo-rs dan distro Anda sendiri. Bila Anda berencana beralih, uji perilaku sudoers dan skrip Anda lebih dulu. Konteks Ubuntu 26.04 dibahas di artikel Ubuntu 26.04 LTS.

Linimasa Singkat

• 1 April 2025: vendor sudo diberi tahu oleh peneliti.
• 30 Juni 2025: Stratascale mempublikasikan celah; Ubuntu merilis USN-7604-1.
• 29 September 2025: CISA memasukkan CVE-2025-32463 ke KEV; tenggat 20 Oktober 2025.
• 23 April 2026: Ubuntu 26.04 LTS dirilis dengan sudo-rs dan Rust coreutils dalam dorongan komponen memory-safe.

Pertanyaan yang Sering Diajukan

Apakah celah ini bisa dieksploitasi dari jarak jauh?

Tidak secara langsung. Ini celah lokal, tetapi penyerang yang sudah punya akses terbatas bisa memakainya untuk menjadi root.

Apakah sudo di server saya yang 1.8.x terdampak?

Menurut Stratascale, seri lama (1.8.32 dan sebelumnya) tidak terdampak karena belum memiliki fitur chroot tersebut. Tetap perbarui sesuai kebijakan distro.

Mengapa dua skor CVSS berbeda, 7,8 dan 9,3?

Penilai berbeda memberi asumsi berbeda. Cara membacanya ada di panduan skor CVSS.

Kesimpulan

Celah sudo chroot mengajarkan bahwa alat yang paling dipercaya pun dapat menjadi titik lemah, dan bahwa tambalan tepat waktu, audit konfigurasi sudoers, dan hak akses minimal adalah pertahanan yang nyata. Jika Anda ingin memperdalam keamanan Linux secara praktis, lihat kursus Linuxhackingid.