如何更新和删除Pkexec可执行文件

Question

我来到知道时发现，大多数linux发行版(包括Ubuntu)由于PKEXEC存在漏洞。为了安全起见，建议要么更新polkit，要么删除Pkexec可执行文件。

我的问题是：

1. 如何更新polkit的最新版本，使我不会有此漏洞。
2. 如何完全删除可执行文件，使任何人都不能使用该旧的可执行文件来利用上述漏洞。

我使用的是Ubuntu18.04，当我运行命令locate pkexec时得到以下输出：

/snap/core18/2284/usr/share/polkit-1/actions/org.dpkg.pkexec.update-alternatives.policy
/snap/core18/2344/usr/share/polkit-1/actions/org.dpkg.pkexec.update-alternatives.policy
/snap/core20/1376/usr/share/polkit-1/actions/org.dpkg.pkexec.update-alternatives.policy
/snap/core20/1405/usr/share/polkit-1/actions/org.dpkg.pkexec.update-alternatives.policy
/usr/bin/pkexec
/usr/share/man/man1/pkexec.1.gz
/usr/share/polkit-1/actions/org.dpkg.pkexec.update-alternatives.policy

Answer 1

正如您可以在Ubuntu安全- CVE-2021-4034上检查的那样，这个bug已经被维护人员修补了。

要升级到补丁版本(在Ubuntu“Bionic”中是0.105-20ubuntu0.18.04.6 )，您只需要应用系统的常规安全更新就可以了。

您可以使用apt检查是否已经在运行修补版本：

$ apt policy policykit-1
policykit-1:
  Installed: 0.105-20ubuntu0.18.04.6
  Candidate: 0.105-20ubuntu0.18.04.6
  Version table:
 *** 0.105-20ubuntu0.18.04.6 500
        500 http://ca.archive.ubuntu.com/ubuntu bionic-updates/main amd64 Packages
        500 http://security.ubuntu.com/ubuntu bionic-security/main amd64 Packages
        100 /var/lib/dpkg/status
     0.105-20 500
        500 http://ca.archive.ubuntu.com/ubuntu bionic/main amd64 Packages

或者使用dpkg：

$ dpkg -l policykit-1
Desired=Unknown/Install/Remove/Purge/Hold
| Status=Not/Inst/Conf-files/Unpacked/halF-conf/Half-inst/trig-aWait/Trig-pend
|/ Err?=(none)/Reinst-required (Status,Err: uppercase=bad)
||/ Name                                      Version                   Architecture              Description
+++-=========================================-=========================-=========================-=======================================================================================
ii  policykit-1                               0.105-20ubuntu0.18.04.6   amd64                     framework for managing administrative policies and privileges

(policykit-1是提供pkexec二进制文件的包，您可以使用dpkg -S /usr/bin/pkexec进行确认)。

您可以在包的changelog中查看修补程序报告：

$ apt changelog policykit-1
policykit-1 (0.105-20ubuntu0.18.04.6) bionic-security; urgency=medium

  * SECURITY UPDATE: Local Privilege Escalation in pkexec
    - debian/patches/CVE-2021-4034.patch: properly handle command-line
      arguments in src/programs/pkcheck.c, src/programs/pkexec.c.
    - CVE-2021-4034

 -- Marc Deslauriers   Wed, 12 Jan 2022 07:34:00 -0500