Sinon ironie à part, mon opinion est clairement qu'un utilisateur Linux dont le poste est à jour et qui n'a pas tout le temps son accès sudo autorisé (attention à l'expiration du mot de passe !) n'a pas grand chose à craindre de ce genre d'exploit sauf peut-être si l'attaquant code un effacement récursif complet du répertoire home… mais bon, les backups sont là pour survivre à ce genre d'épreuves qui forgent le caractère.
C'est sous estimé ce que l'on peut faire avec un compte utilisateur (hormis déjà piller le contenu des données de l'utilisateur).
Si l'on prend en ligne de commande, on peut modifier le PATH ou déclarer un alias (par exemple pour exécuter plutôt un "sudo" à nous qui intercepte le mot de passe ou bien remplacer ssh pour pouvoir avoir la passphrase d'une clé) => accès root (et potentiellement accès à des serveurs distants).
Voilà quelques idées, rapidement. Je ne doute pas qu'il y ait des milliers de possibilités.
En résumé, non ce n'est pas aussi anodin que ton message peut le laisser penser.
[^] # Re: Quelques précisions nécessaires
Posté par neerd . En réponse au journal Java ça pue c'est trop libre.. Évalué à 2.
C'est sous estimé ce que l'on peut faire avec un compte utilisateur (hormis déjà piller le contenu des données de l'utilisateur).
Si l'on considère juste X, il est par exemple possible de mettre en place un keylogger sans sudo et sans droit root: http://superuser.com/questions/301646/linux-keylogger-without-root-or-sudo-is-it-real#334417
Et voilà le mot de passe nécessaire pour sudo est perdu => accès root
Si l'on prend en ligne de commande, on peut modifier le PATH ou déclarer un alias (par exemple pour exécuter plutôt un "sudo" à nous qui intercepte le mot de passe ou bien remplacer ssh pour pouvoir avoir la passphrase d'une clé) => accès root (et potentiellement accès à des serveurs distants).
Voilà quelques idées, rapidement. Je ne doute pas qu'il y ait des milliers de possibilités.
En résumé, non ce n'est pas aussi anodin que ton message peut le laisser penser.