polkit の脆弱性に対応するためベースイメージを更新

[mcdanlj (Michael K Johnson)]

Discourse が直接 pkexec を呼び出さないことは認識していますが、ベースイメージに root 権限で setuid ビットが設定された状態で存在しています。少なくとも昨日確認した時点では、脆弱なバージョンのままでした。防御の深化のため、ソフトウェアの更新、polkit の削除、pkexec の削除、または pkexec の setuid ビットの削除のいずれかによって CVE-2021-4034 に対処するようにベースイメージを更新することが適切です。

私の回避策は、コンテナ定義 YAML ファイルのカスタムコマンドブロックに以下を追加することでした。

  - exec: chmod 755 /usr/bin/pkexec

もし私の認識が誤っており、CVE-2021-4034 が対処済みであれば、お詫び申し上げます。お知らせいただければ、次に polkit、pkexec、または CVE-2021-4034 を検索する人がこの投稿を見つけられるでしょう。

[gerhard (Gerhard Schlager)]

これは DEV: update launcher for new base image and pups gem (#602) · discourse/discourse_docker@a87474c · GitHub によって軽減されたと確信しています。コンテナを再構築することで新しいイメージを取得できるはずです。来週中に更新時に再構築を強制する予定です。

[mcdanlj (Michael K Johnson)]

ありがとうございます！投稿する前にテストした時にはまだ利用可能ではありませんでしたが、テストしてから投稿するまでの間に利用可能になったのかもしれませんね。

それを取得するために、もう一度再構築しています。