Злоумышленники могут эксплуатировать кэширование sudo и (или) использовать файл sudoers для повышения уровня привилегий — например, с целью выполнения команд от имени других пользователей или порождения процессов с повышенными привилегиями.

В системах Linux и MacOS команда sudo (сокращение от superuser do — "выполнить от имени суперпользователя") позволяет выполнять в терминалах команды с повышенным уровнем привилегий и управлять списками пользователей, которые могут выполнять эти команды. Команда sudo позволяет системному администратору делегировать полномочия, предоставляя отдельным пользователям (или группам пользователей) возможность выполнять некоторые (или все) команды от имени root-пользователя или другого пользователя, и при этом ведет журнал команд и их аргументов. Поскольку sudo предназначена для системного администратора, она позволяет использовать расширенные параметры конфигурации, например timestamp_timeout, который определяет время между запусками sudo в минутах перед повторным запросом пароля. Это связано с тем, что sudo может хранить кэш учетных данных в течение определенного времени. Для установки времени хранения кэша sudo создает файл в /var/db/sudo с меткой времени последнего запуска sudo (или изменяет временные метки существующего файла). Кроме того, при установленном флаге tty_tickets каждый новый сеанс терминала (tty) рассматривается отдельно от других, то есть, в частности, срок действия повышенных привилегий, установленный для одного сеанса, не распространяется на другие сеансы (нужно будет снова вводить пароль).

Файл sudoers ( /etc/sudoers) содержит данные о том, какие пользователи могут выполнять те или иные команды и из каких терминалов, а также какие команды пользователи могут выполнять от имени других пользователей или групп. Это позволяет осуществлять администрирование по принципу предоставления минимальных привилегий, то есть пользователи работают с минимально допустимым уровнем привилегий большую часть времени и повышают его (получают дополнительные разрешения или право на выполнение операций от имени других пользователей) только по необходимости, что обычно сопровождается запросом пароля. Файл sudoers также может содержать указания о том, когда не следует запрашивать у пользователей пароли; для этого используются строки, подобные следующей: user1 ALL=(ALL) NOPASSWD: ALL. Для редактирования этого файла требуется повышенный уровень привилегий.

Злоумышленники могут также использовать ошибки в конфигурации этих механизмов для повышения уровня привилегий без ввода пароля. Например, они могут регулярно проверять, попадает ли временная метка файла /var/db/sudo в диапазон, заданный timestamp_timeout. Если это так, вредоносное ПО сможет выполнять команды sudo без ввода пароля пользователя. Кроме того, если флаг tty_tickets не установлен, злоумышленники могут выполнять команды из любого сеанса tty данного пользователя.

В реальной среде наблюдались случаи, когда вредоносное ПО отключало флаг tty_tickets с помощью команды echo 'Defaults !tty_tickets' >> /etc/sudoers, чтобы упростить использование сценариев. Чтобы применить изменения, использовалась команда killall Terminal. Начиная с macOS Sierra, флаг tty_tickets в файле sudoers установлен по умолчанию.