SICHERHEITSWARNUNG: Unerwartete sudo-Erlaubnis für User ubuntu in Netcup Standard-Setup

    Hallo,

    ich habe auf einem von mir betreuten Server ein unerlaubtes sudo zu root geloggt. Die Nachforschung hat ergeben, dass offenbar seit einiger Zeit ein Standard-Ubuntu 24.04 Netcup-Image (definitiv NICHT in der cloudimg-Version sondern in der BIOS-Version) eine unerwünschte Datei in /etc/sudoers.d ablegt: Ich habe das soeben auf einem Testsystem noch einmal überprüft.

    Hier wird standardmäßig dem Benutzer ubuntu allgemeiner Root-Zugriff gestattet. Das ist unserer Erachtens ein maßloses unerwartetes Sicherheitsloch.

    Es sind diverse Server von uns betroffen, die in den letzten Wochen neu aufgesetzt wurden. Es KÖNNTE sein, dass das Problem seit etwa dem 301.2026 besteht.

    Schaut auf euren Servern nach, ob das bei euch auch der Fall ist und trefft Gegenmaßnahmen!

    LG Andreas

    Code
    # ls -lrt
total 8
-r--r----- 1 root root 1068 Jan 29  2024 README
-r--r----- 1 root root  141 Oct 15 08:20 90-cloud-init-users
# cat 90-cloud-init-users
# Created by cloud-init v. 25.1.4-0ubuntu0~24.04.1 on Wed, 15 Oct 2025 06:20:05 +0000


# User rules for ubuntu
ubuntu ALL=(ALL) NOPASSWD:ALL

    Die Datei habe ich auch, aus dem Oktober 2025.

    Was mir "fehlt" ist allerdings der Benutzer ubuntu.

    | VPS: 28 | vCPU: 75 | Memory: 104 GB | Disk: 4012 GB |

    Ist doch normal bei cloud-init und auch dokumentiert:

    Code
    # Default user creation:
#
# Unless you define users, you will get a 'ubuntu' user on Ubuntu systems with the
# legacy permission (no password sudo, locked user, etc). If however, you want
# to have the 'ubuntu' user in addition to other users, you need to instruct
# cloud-init that you also want the default user. To do this use the following
    Zitat von cltrmx

    Falls das zutreffend ist, dann bestätigt mich das mal wieder auf egal welcher Plattform immer selbst ein OS zu installieren und zu konfigurieren. Da weiß man wenigstens, woran man ist und was man verpfuscht hat

    Genau so sehe ich das auch .. cloud-init ist sehr gut zum Ausrollen von Linux-Clients, bei Servern von einem Hoster sehe ich das aber auch kritisch und installiere selbst. Mein Lieblingsbeispiel ist hier Orakel, verrückt wie tief die in den Servern Ihrer Kunden rumpfuschen, daher habe ich da z.B. auch keinerlei "wichtige" Daten...

    Zitat von foto-andreas

    ich habe auf einem von mir betreuten Server ein unerlaubtes sudo zu root geloggt.

    dann müsste es aber einen user »ubuntu« geben. das ist bei mir in der nachstellung nicht der fall.

    in /etc gibt es die üblichen passwd, group etc. jeweils ohne user »ubuntu«.

    es gibt aber sämtlich dafür typische files mit minus angehängt: passwd-, group- etc. – die würde ich löschen.

    Code
    root@budweiser:/etc# diff passwd*
32a33
> ubuntu:x:1000:1000:Ubuntu:/home/ubuntu:/bin/bash

    »Hauptsache BogoMIPS!«
    Volksfront DLT #64Ksplit
    Sag' NEIN zu Wordpress

    Einmal editiert, zuletzt von Olivetti (14. Februar 2026 um 20:13)

    Hi,

    stimmt, es gibt nach Installation keine Benutzer Ubuntu, der wird später durch eine Ansible-Installation erstellt. Macht es aber nicht besser, denn dann hat die sudoers-Datei nach Installation da absolut gar nichts zu suchen.

    Ja, wir werden ab jetzt einige Dinge anders machen. Mein Anliegen hier war, euch zu warnen und einfach mal nachzusehen, was in dieser Hinsicht auf euren Servern los ist.

    Eine Info an den Netcup-Service ist raus, um das für die Zukunft abzustellen.

    Andreas