防范Sudo环境变量继承漏洞，核心是启用env_reset清空环境、显式删除LD_PRELOAD等危险变量、锁定secure_path并禁用PATH继承、限制LC_*等语言变量。

防范Sudo环境变量继承漏洞，核心是切断攻击者通过LD_PRELOAD、PATH、HISTFILE等变量劫持执行流或注入代码的路径。生产环境必须默认清空环境、显式放行可信变量、禁用高危变量，并强制使用可信命令路径。

启用并验证env_reset机制

env_reset是阻断环境变量继承的第一道防线，它会在sudo执行前清空用户原始环境。务必确认该选项已启用且未被覆盖：

• 运行sudo visudo，检查是否存在未注释的Defaults env_reset行
• 避免在/etc/sudoers.d/中存在Defaults !env_reset或Defaults env_keep = "..."全量覆盖式配置
• 测试是否生效：sudo env | grep -E "(LD_|HIST|PATH)"应不输出LD_PRELOAD、HISTFILE等敏感变量

主动删除危险变量而非仅依赖env_reset

某些变量（如LD_PRELOAD）即使在env_reset启用后仍可能被隐式继承。需显式清除：

• 在sudoers中添加：Defaults env_delete += "LD_PRELOAD LD_LIBRARY_PATH LD_AUDIT LD_DEBUG"
• 特别注意EDITOR和SUDO_EDIT：攻击者常通过sudo EDITOR=/tmp/shell.sh visudo触发提权，应一并加入env_delete
• 验证：sudo sh -c 'echo $LD_PRELOAD'返回必须为空

锁定secure_path并禁用用户PATH继承

PATH劫持是最常见的提权手法之一，攻击者在当前目录放置伪造ls、python等程序即可被sudo调用：

• 设置严格secure_path：Defaults secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
• 确保路径中不含/tmp、/dev/shm、~/bin等用户可写目录
• 禁止保留用户PATH：Defaults env_delete += "PATH"，避免任何场景下PATH被带入
• 特殊需求时改用显式传递：sudo env "PATH=/trusted/bin" /usr/local/bin/mytool

限制语言类变量，防止locale相关绕过

部分攻击利用LC_*变量加载恶意共享库或触发glibc行为异常，需精细控制：

• 只保留必要本地化变量：Defaults env_keep += "LANG LC_CTYPE LC_MESSAGES"
• 明确剔除高风险变量：Defaults env_delete += "LC_ALL"（LC_ALL会覆盖所有LC_*，不可控）
• 避免保留HOME：Defaults env_delete += "HOME"，防止~/.bashrc等文件被误加载
• 验证：sudo env | grep "^LC_"仅应显示允许保留的几个变量