BDU:2021-03207 (CVE-2021-3560)

Уязвимость функции polkit_system_bus_name_get_creds_sync() демона dbus-daemon библиотеки Polkit, позволяющая нарушителю повысить свои привилегии

Опубликовано: 2021-06-23

Описание

Уязвимость функции polkit_system_bus_name_get_creds_sync() демона dbus-daemon библиотеки Polkit связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии

Затрагиваемое ПО и версии

Red Hat Virtualization (4)Red Hat Enterprise Linux (8)Ubuntu (20.04 LTS)Ubuntu (20.10)Red Hat Enterprise Linux (8.1 Extended Update Support)Red Hat Enterprise Linux (8.2 Extended Update Support)Polkit (от 0.113 до 0.119 включительно)РЕД ОС (7.3)Альт 8 СПРЕД ОС (8.0)

Способ устранения

Использование рекомендаций:
Для Polkit:
https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2021-3560

Для Ubuntu:
https://ubuntu.com/security/notices/USN-4980-1

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-polkit-cve-2021-3560/?sphrase_id=1455056

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://access.redhat.com/security/cve/cve-2021-3560 https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/https://redos.red-soft.ru/support/secure/https://ubuntu.com/security/notices/USN-4980-1 https://altsp.su/obnovleniya-bezopasnosti/https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-polkit-cve-2021-3560/?sphrase_id=1455056

Проверьте безопасность своего сайта и почты → Полная проверка домена