Linux polkit本地权限提升漏洞(CVE-2021-4034)-编程思维

漏洞详情

漏洞名称:Linux polkit本地权限提升漏洞(CVE-2021-4034)
漏洞标签:存在EXP
漏洞类型:应用漏洞
威胁等级高危
CVE编号:CVE-2021-4034
漏洞描述:近日,国外安全团队发布安全公告称,在 polkit 的 pkexec 程序中发现了一个本地权限提升漏洞。pkexec 应用程序是一个 setuid 工具,旨在允许非特权用户根据预定义的策略以特权用户身份运行命令。
由于当前版本的 pkexec 无法正确处理调用参数计数,并最终会尝试将环境变量作为命令执行。攻击者可以通过控制环境变量,从而诱导 pkexec 执行任意代码。利用成功后,可导致非特权用户获得管理员权限。
修复方案	
1、无法升级软件修复包的,可使用以下命令删除pkexec的SUID-bit权限来规避漏洞风险:
       chmod 0755 /usr/bin/pkexec
2、CentOS 7的用户可通过yum update polkit升级修复,Centos 5、6、8官方已终止生命周期 (EOL)维护,建议停止使用;
3、RedHat用户建议联系红帽官方获取安全修复源后执行yum update polkit升级修复;
4、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS的用户可通过sudo apt-get install policykit-1升级修复,Ubuntu 14.04、16.04、12.04官方已终止生命周期 (EOL)维护。
检测到服务器存在漏洞风险,建议立即对相关主机进行快照备份,避免遭受损失。

参考链接	
http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202201-2343

 

版权声明:本文版权归作者所有,遵循 CC 4.0 BY-SA 许可协议, 转载请注明原文链接
https://www.cnblogs.com/zhangxilong/p/15959046.html

[ Linux ] openEuler 20.03 LTS SP3 安装 XFCE-编程思维

https://www.cnblogs.com/yeungchie/ XFCE是一款轻量级 Linux 桌面,当前版本已经将所有部件从 GTK2 更新到 GTK3,从D-Dbus Glib更新到GDBus,大部分组件支持Object Introspection(简称 GI,用于产生与解析 C 程序库 API 元信息,以

虚拟机中CentOS-7.9的硬盘空间扩容(EXSI)-编程思维

目录一、增加虚机容量二、创建新的分区三、格式化新分区四、lvm实现卷扩容五、文件系统的扩容 大家好,我是LSF,发现一台虚机上 /dev/mapper/centos-root Use%已经快满了,决定扩容,安全起见,先搞一台闲置的虚机,试验一下。 一、增加虚机容量 在exsi管理web界面中,先关闭虚机,点击 “编

Linux:fuser命令详情-编程思维

fuser命令详情 fuser:由文件找出占用该文件的程序 # 示例: fuser -v /root/log/a.log #显示进程信息 fuser -v 80/tcp #查看那些程序使用tcp的80端口 fuser -k /root/log/a.log #kill掉进程 常用选项 -a 显示所有命令行中指定的