更新 polkit 漏洞的基础镜像

[mcdanlj (Michael K Johnson)]

我认识到 Discourse 不会直接调用 pkexec，但它存在于基础镜像中，并且具有 setuid root 权限。至少在我昨天查看时，它看起来仍然是易受攻击的版本。为了实现纵深防御，应该通过更新软件、移除 polkit、移除 pkexec 或移除 pkexec 的 setuid 位来更新基础镜像以解决 CVE-2021-4034。

我的缓解措施是在容器定义 YAML 文件中的自定义命令块中添加

  - exec: chmod 755 /usr/bin/pkexec

如果我错了，CVE-2021-4034 已经被解决，请接受我的道歉，让我们知道，下一个搜索 polkit、pkexec 或 CVE-2021-4034 的人将会找到这个帖子。

[gerhard (Gerhard Schlager)]

我相当确定它已被 DEV: update launcher for new base image and pups gem (#602) · discourse/discourse_docker@a87474c · GitHub 缓解。您应该通过重建容器来获取新镜像，我认为我们将在下周某个时候强制在更新期间进行重建。

[mcdanlj (Michael K Johnson)]

谢谢！在我测试并发布之前，这个功能还不可用，不过也许在我测试和发布之间它已经可用了。

现在重新构建以获取它。