CVE-2019-19234

Sudo-nun 1.8.29 versiyasına qədər olan versiyalarında istifadəçinin bloklandığı faktı (məsələn, şifrə heşiInstead parol heşi yerinə shadow faylında ! simvolundan istifadə edilməklə) nəzərə alınmır və bu, hücumçuya (Runas ALL sudoer hesabına giriş imkanı olan) hər hansı bloklanmış istifadəçi adından çıxış etməyə imkan verir. QEYD: Proqram təminatının saxlayıcısı bu CVE-nin etibarsız olduğuna inanır. İstifadəçi üçün lokal parol autentifikasiyasının söndürülməsi həmin istifadəçiyə bütün girişlərin bağlanması ilə eyni şey değildir – istifadəçi hələ də digər vasitələrlə (ssh açarı, kerberos və s.) daxil ola bilər. Həm Linux shadow(5), həm də passwd(1) təlimatlarında bu məsələ aydın şəkildə göstərilib. Əslində, yalnız sudo vasitəsilə əlçatan olan və parolla daxil olmaq mümkün olmayan lokal hesabların olması legitim istifadə halıdır. Sudo 1.8.30 versiyasında hədəf istifadəçinin shell-ini (şifrələnmiş parolu yox!) /etc/shells faylının məzmunu ilə yoxlamaq üçün opsional tənzimləmə əlavə edilib, lakin bu, etibarsız parol heşi olan istifadəçilərə girişi önləmək ilə eyni şey değildir.