美國要求聯邦機構限時修補PwnKit安全漏洞

資安業者Qualys於今年1月揭露一個存在Linux系統管理元件Polkit長達12年的安全漏洞CVE-2021-4034，該漏洞允許駭客以根權限執行程式碼，而且波及所有主要Linux版本，又被稱為PwnKit漏洞。由於已發現針對該漏洞的攻擊行動，使得美國網路安全及基礎設施安全局（CISA）於本月27日將它納入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄中，要求美國聯邦機構必須在7月18日以前修補。

Polkit負責制定與處理在Linux系統上可允許非特權程序及特權程序通訊的政策，其中的Pkexec工具可利用setuid功能代其它使用者執行命令，PwnKit漏洞即允許非特權的本地端駭客擴張權限，繞過任何政策與身分認證，取得管理員權限，從Red Hat、Ubuntu、Debian、Fedora到CentOS等Linux版本都受到影響。

當Qualys在1月25日公布PwnKit漏洞之後的幾個小時，相關的概念性驗證程式就問世了。

CISA僅說已發現該漏洞遭到開採的證據，並未說明受害者或攻擊內容。

值得注意的是，除了PwnKit漏洞之外，CISA當天也將另外7個漏洞納入「已知遭開採漏洞」目錄中，包括Google於去年5月就修補的Chromium漏洞CVE-2021-30533，以及蘋果自2018年到2021年間所修補的5個安全漏洞。

除了要求聯邦機構限時修補之外，CISA也強烈建議所有組織應該優先修補被列入此一已遭開採目錄的所有安全漏洞。

 參考資訊  CISA在6月27日所新增的「已知遭開採漏洞」名單