sudo の --chroot でローカルユーザーが root になれる（悪用確認済み）

High（CVSS 7.8）に分類されるSudo sudoの脆弱性です。sudo の -R（--chroot）オプションの処理に欠陥があり、ローカルの一般ユーザーが root として任意のコマンドを実行できる。sudo 1.9.14 で「sudoers の評価中に、ユーザーが指定した root ディレクトリを使って chroot() でパスを解決する」という変更が入ったことが原因で、攻撃者は指定した root ディレクトリ配下に自作の /etc/nsswitch.conf を置くことで、sudo に任意の共有ライブラリを読み込ませられる。sudo プロジェクトの advisory は「攻撃者が sudoers ファイルに一切記載されていなくても root としてコマンドを実行できる」と明記しており、sudoers に chroot の許可を書いていない環境でも成立する点が重要である。影響バージョンは sudo 1.9.14 から 1.9.17 まで（両端を含む）で、修正は 1.9.17p1。CVSS は評価元で分かれており、NVD（Primary）は 7.8 High（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の MITRE は 9.3 Critical（AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）としている。差は、権限要求（PR:L か PR:N）とスコープ変更（S:U か S:C）の見方の違いである。CISA KEV には 2025-09-29 に収載され、是正期限は 2025-10-20。ランサムウェア利用は Unknown（不明）。

やることは1つ、sudo を 1.9.17p1 以降へ上げることで終わる。判定は sudo -V の1行目（Sudo version）を見るだけでよく、1.9.14 以上 1.9.17 以下なら該当、1.9.13 以下と 1.9.17p1 以降は非該当である。ディストリのパッケージは版番号にパッチ番号が付くため（例 1.9.15p5-3ubuntu5.24.04.1）、ディストリの CVE トラッカーで当該 CVE が Fixed になっているビルドかを合わせて確認する。台数が多い環境では `sudo -V | head -1` を構成管理（Ansible / SSM Run Command / OS Config）で一括収集し、1.9.14〜1.9.17 のホストを抽出するのが早い。緩和策として「sudoers から chroot（CHROOT= や -R の許可）を消す」は有効ではない。advisory が sudoers に記載の無いユーザーでも成立すると書いているためで、設定の変更ではなく更新が必要である。どうしても即時に更新できない場合は、対象ホストへのローカルシェルを持つアカウントを一時的に絞る（対話ログインの停止・踏み台経由に限定する）という、攻撃の前提条件（ローカルアクセス）を潰す方向でしのぐことになる。なお sudo 1.9.17p1 では 1.9.14 の変更が revert されただけでなく chroot 機能自体が deprecated とされ、将来のリリースで削除予定と告知されている。chroot 前提の運用スクリプトがあるなら、この機会に代替（コンテナや systemd の RootDirectory 等）へ寄せる検討をしておくとよい。KEV 収載済みで是正期限は 2025-10-20 と既に過ぎているため、未更新のホストが残っているなら期限超過として扱う。

Sudo sudo を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-32463）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。