Обновление базового образа для уязвимости polkit

Поддержка
1

Я понимаю, что Discourse напрямую не вызывает pkexec, но он присутствует в базовом образе с правами setuid root. По крайней мере, вчера, когда я проверял, казалось, что это всё ещё уязвимая версия. Для многоуровневой защиты целесообразно обновить базовый образ для устранения уязвимости CVE-2021-4034: либо обновив ПО, либо удалив polkit, либо удалив pkexec, либо сняв бит setuid с pkexec.

Мое решение заключалось в добавлении

  - exec: chmod 755 /usr/bin/pkexec

в блок пользовательских команд в YAML-файлах определения контейнера.

Если я ошибаюсь и уязвимость CVE-2021-4034 уже устранена, прошу прощения, сообщите об этом, и следующий человек, который будет искать polkit, pkexec или CVE-2021-4034, найдёт этот пост. :slight_smile:

2

Я почти уверен, что это было устранено в DEV: update launcher for new base image and pups gem (#602) · discourse/discourse_docker@a87474c · GitHub. Вам следует получить новый образ, пересоздав контейнер, и, думаю, мы принудительно пересоздадим его при обновлениях на следующей неделе.

3

Спасибо! Этого еще не было доступно, когда я тестировал перед публикацией, хотя, возможно, это появилось между моим тестированием и публикацией. :roll_eyes:

Сейчас снова собираю, чтобы это подхватить.