Oui

Non

Oui

Pour info, le sudo de GNU garde par défaut un token pour éviter d'avoir à retaper son mdp à chaque opération. Le token expire après un délai, 5 min je crois.

Mais effectivement, entre le moment ou le token est créé (premier mdp rentré) et détruit (expiration), n'importe quel programme pourrait appeler sudo sans rentrer de mot de passe. A vérifier, vu qu'il y a d'autres protections qui peuvent se greffer par dessus, comme SELinux (contexte dépendant).