polkit 취약점 대응을 위한 기본 이미지 업데이트

제품 지원
1

Discourse가 직접 pkexec를 호출하지 않는다는 점은 인지하고 있습니다. 하지만 기본 이미지에는 setuid root 권한이 부여된 pkexec가 존재합니다. 어제 확인했을 때, 여전히 취약한 버전인 것으로 보였습니다. 방어적 심층(Defense-in-depth) 관점에서, 소프트웨어를 업데이트하거나 polkit을 제거하거나, pkexec를 제거하거나, 또는 pkexec의 setuid 비트를 제거하여 CVE-2021-4034를 해결하도록 기본 이미지를 업데이트하는 것이 적절할 것입니다.

저는 컨테이너 정의 YAML 파일의 커스텀 커맨드 블록에 다음을 추가하여 완화 조치를 취했습니다.

  - exec: chmod 755 /usr/bin/pkexec

만약 제가 틀렸고 CVE-2021-4034가 이미 해결되었다면, 죄송합니다. 알려주시면, polkit, pkexec, 또는 CVE-2021-4034를 검색하는 다음 사람이 이 게시물을 찾을 수 있을 것입니다. :slight_smile:

2

DEV: update launcher for new base image and pups gem (#602) · discourse/discourse_docker@a87474c · GitHub 커밋으로 해당 문제가 완화되었을 것이라고 확신합니다. 컨테이너를 다시 빌드하면 새로운 이미지를 받을 수 있을 것이며, 다음 주 중 업데이트 시점에 재빌드를 강제할 예정입니다.

3

감사합니다! 게시하기 전에 테스트했을 때는 아직 사용할 수 없었지만, 테스트와 게시 사이에 업데이트가 적용되었을 수도 있습니다. :roll_eyes:

그걸 반영하기 위해 다시 빌드하고 있습니다.