移动互联网+与新技术研究汇总

程志鹏@6A商学院 专注SEM与“互联网+”研究与学习

Linux polkit本地权限提升漏洞(CVE-2021-4034)

Linux polkit本地权限提升漏洞(CVE-2021-4034)
本地利用
在野攻击
Linux软件漏洞
高危
CVE-2021-4034
2022-01-26
近日,国外安全团队发布安全公告称,在 polkit 的 pkexec 程序中发现了一个本地权限提升漏洞。pkexec 应用程序是一个 setuid 工具,旨在允许非特权用户根据预定义的策略以特权用户身份运行命令。
由于当前版本的 pkexec 无法正确处理调用参数计数,并最终会尝试将环境变量作为命令执行。攻击者可以通过控制环境变量,从而诱导 pkexec 执行任意代码。利用成功后,可导致非特权用户获得管理员权限。
修复方案
1、无法升级软件修复包的,可使用以下命令删除pkexec的SUID-bit权限来规避漏洞风险:       chmod 0755 /usr/bin/pkexec 2、CentOS 7的用户可通过yum update polkit升级修复,Centos 5、6、8官方已终止生命周期 (EOL)维护,建议停止使用; 3、RedHat用户建议联系红帽官方获取安全修复源后执行yum update polkit升级修复; 4、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS的用户可通过sudo apt-get install policykit-1升级修复,Ubuntu 14.04、16.04、12.04官方已终止生命周期 (EOL)维护,修复需要额外付费购买Ubuntu ESM(扩展安全维护)服务,建议停止使用。

扫描到服务器存在漏洞风险,建议立即对相关主机进行快照备份,避免遭受损失。


发表评论:

网站分类
搜索
最新留言
文章归档
友情链接
  • 订阅本站的 RSS 2.0 新闻聚合

Powered By Z-BlogPHP 1.7.2

Copyright ©2007-2023 程志鹏@6A商学院 All Rights Reserved
冀ICP备10208152号-4 |