UCloud-202202-001:Linux Polkit 权限提升漏洞通告
- 发布时间
- 更新时间
- 2022-02-16
- 漏洞等级
- High
- CVE编号
- CVE-2021-4034
漏洞描述
Polkit默认安装在各个主要的Linux发行版本上，易受该漏洞影响的 pkexec组件无法正确处理调用参数，并会尝试将环境变量作为命令执行。攻击者可以通过修改环境变量，从而诱导 pkexec 执行任意代码。成功利用该漏洞允许任意非特权用户在易受攻击的主机上获得特权用户权限。
影响版本
由于为系统预装工具，目前主流Linux版本均受影响。
安全版本
CentOS系列：
CentOS 6：polkit-0.96-11.el6_10.2
CentOS 7：polkit-0.112-26.el7_9.1
CentOS 8.0：polkit-0.115-13.el8_5.1
CentOS 8.2：polkit-0.115-11.el8_2.2
CentOS 8.4：polkit-0.115-11.el8_4.2
Ubuntu系列：
Ubuntu 20.04 LTS：policykit-1 - 0.105-26ubuntu1.2
Ubuntu 18.04 LTS：policykit-1 - 0.105-20ubuntu0.18.04.6
Ubuntu 16.04 ESM：policykit-1 - 0.105-14.1ubuntu0.5+esm1
Ubuntu 14.04 ESM：policykit-1 - 0.105-4ubuntu3.14.04.6+esm1
修复建议
通用修补建议
根据影响版本中的信息，排查并升级到安全版本
临时修补建议
目前各Linux发行版官方均已给出安全补丁，建议用户尽快升级至安全版本，或参照官方说明措施进行缓解，CentOS、Ubuntu及Debian用户可参考以下链接：
https://ubuntu.com/security/CVE-2021-4034