Riconosco che Discourse non chiama direttamente pkexec ma è presente, con il bit setuid impostato per root, nell’immagine di base. Almeno quando ho controllato ieri sembrava fosse ancora la versione vulnerabile. Per una difesa in profondità, sarebbe opportuno aggiornare l’immagine di base per affrontare la CVE-2021-4034 aggiornando il software, rimuovendo polkit, rimuovendo pkexec o rimuovendo il bit setuid da pkexec.
La mia mitigazione è stata quella di aggiungere
- exec: chmod 755 /usr/bin/pkexec
al blocco dei comandi personalizzati nei file YAML di definizione del container.
Se mi sbaglio e la CVE-2021-4034 è stata risolta, accetta le mie scuse, faccelo sapere e la prossima persona che cercherà polkit, pkexec o CVE-2021-4034 troverà questo post.
