Bulletin de sécurité | Vulnérabilité d'élévation de privilèges Linux Polkit (CVE-2021-4034) -

Une vulnérabilité locale d'élévation de privilèges a été découverte dans le programme pkexec de Polkit. Ce dernier gère incorrectement les paramètres de ligne de commande, ce qui expose au risque d'une élévation de privilèges locale par injection de paramètres.

Informations sur la vulnérabilité

ID de vulnérabilité : CVE-2021-4034
Gravité de la vulnérabilité : Élevée
Périmètre concerné : Toutes les principales distributions Linux

Détails

Il s'agit d'une vulnérabilité de corruption de mémoire affectant pkexec, un programme SUID-root intégré à Polkit et installé sur toutes les principales distributions Linux. Ce programme permet à un utilisateur non privilégié d'exécuter des commandes avec des droits privilégiés, selon des politiques prédéfinies. La version actuelle de pkexec ne traite pas correctement les paramètres de ligne de commande. Cette faille permet à un attaquant de manipuler les variables d'environnement pour amener pkexec à exécuter du code arbitraire. L'exploitation réussie de cette vulnérabilité accorde à un utilisateur non privilégié les privilèges root complets.

Correctif

Les packages Polkit d'Anolis OS et d'Alibaba Cloud Linux ont été mis à jour vers des versions sécurisées. Les détails des versions sont les suivants :

Anolis OS 7 : polkit-0 112-26.an7,1
Anolis OS 8 : polkit-0 115-13.an8_5,1
Alibaba Cloud Linux 2 : polkit-0 112-26,3.al7,1
Alibaba Cloud Linux 3 : polkit-0 115-13.al8,1

D'autres fournisseurs de distributions Linux ont également publié des correctifs de sécurité. Nous vous recommandons de mettre à niveau Polkit vers une version sécurisée dès que possible. Pour consulter les avis de sécurité officiels d'Ubuntu, Red Hat, CentOS et Debian, reportez-vous aux liens suivants :

Vous trouverez ci-dessous des exemples de commandes de mise à niveau pour certains systèmes d'exploitation :

Pour mettre à niveau Polkit sur CentOS, exécutez la commande suivante :
```
yum clean all && yum makecache && yum update polkit -y
```
Après la mise à niveau, exécutez la commande suivante pour vérifier la version de Polkit.
```
rpm -qa polkit
```
Pour mettre à niveau Polkit sur Ubuntu, exécutez la commande suivante :
```
sudo apt-get update && sudo apt-get install policykit-1
```
Après la mise à niveau, exécutez la commande suivante pour vérifier la version de Polkit.
```
dpkg -l policykit-1
```

Références

Publié par

Alibaba Cloud Computing Co., Ltd.