网络安全漏洞预警
26554
2022-05-20近日,国内安全公司最新发布了一个网络安全漏洞威胁,现将相关漏洞威胁及官方解决办法发布如下:
漏洞名称：
Linux Polkit 权限提升漏洞 CVE-2021-4034
漏洞描述：
2022年1月25日，国内安全公司监测到一则polkit组件存在本地权限提升漏洞的信息，漏洞编号：CVE-2021-4034，漏洞威胁等级：高危。
该漏洞是由于pkexec在处理传入参数的逻辑出现问题，导致环境变量被污染，最终交由pkexec代码逻辑执行实现客户机权限提升。有普通权限用户的攻击者通过执行漏洞文件，触发越界读写，从而在目标系统上造成权限提升。
影响范围:
pkexec为系统预装工具，目前主流Linux版本均受影响。目前受影响的重要Linux发行版本：
CentOS 6 polkit < polkit-0.96-11.el6_10.2
CentOS 7 polkit < polkit-0.112-26.el7_9.1
CentOS 8.0 polkit < polkit-0.115-13.el8_5.1
CentOS 8.2 polkit < polkit-0.115-11.el8_2.2
CentOS 8.4 polkit < polkit-0.115-11.el8_4.2
Ubuntu 21.10 (Impish Indri) < Released (0.105-31ubuntu0.1)
Ubuntu 21.04 (Hirsute Hippo) Ignored (reached end-of-life)
Ubuntu 20.04 LTS (Focal Fossa) < Released (0.105-26ubuntu1.2)
Ubuntu 18.04 LTS (Bionic Beaver) < Released (0.105-20ubuntu0.18.04.6)
Ubuntu 16.04 ESM (Xenial Xerus) < Released (0.105-14.1ubuntu0.5+esm1)
Ubuntu 14.04 ESM (Trusty Tahr) < Released (0.105-4ubuntu3.14.04.6+esm1)
官方解决方案：
目前各Linux发行版官方均已给出安全补丁，建议用户尽快升级至安全版本，或参照官方说明措施进行缓解，CentOS、Ubuntu及Debian用户可参考以下链接：
1.https://ubuntu.com/security/CVE-2021-4034
2.https://access.redhat.com/security/cve/CVE-2021-4034
3.https://security-tracker.debian.org/tracker/CVE-2021-4034
川公网安备51340102000194号