CVE-2019-19234

Sudo 1.8.29 sürümüne kadar olan versiyonlarda, bir kullanıcının engellenmiş olması durumu (örneğin, shadow dosyasında parola özeti yerine ! karakterinin kullanılmasıyla), dikkate alınmamaktadır; bu durum, (Runas ALL sudoer hesabına erişimi olan) bir saldırganın, engellenmiş herhangi bir kullanıcıyı taklit etmesine olanak tanır. NOT: Yazılım sorumlusu bu CVE'nin geçerli olmadığına inanmaktadır. Bir kullanıcı için yerel parola kimlik doğrulamasının devre dışı bırakılması, o kullanıcıya olan tüm erişimin devre dışı bırakılması ile aynı şey değildir; kullanıcı hala diğer yollarla (ssh anahtarı, kerberos vb.) giriş yapabiliyor olabilir. Hem Linux shadow(5) hem de passwd(1) kılavuzları bu konuda nettir. Nitekim, yalnızca sudo aracılığıyla erişilebilen ve parolayla giriş yapılamayan yerel hesaplara sahip olmak geçerli bir kullanım senaryosudur. Sudo 1.8.30, hedef kullanıcının shell bilgisini (şifrelenmiş parolayı değil!) /etc/shells içeriğine göre kontrol eden isteğe bağlı bir ayar eklemiştir ancak bu, geçersiz parola özetine sahip kullanıcılara erişimi engellemekle aynı şey değildir.