☰

pkexec chmod 0755の結果は何ですか

tag-icon • tag-icon systemd polkit
pkexec chmod 0755の結果は何ですか

私が知っている限り、CVE-2021-4034をすばやく軽減する1つの方法はchmod 0755 /usr/bin/pkexec（つまり、SUIDビットを削除すること）です。

私はこれの具体的な実際の結果が何であるかわかりません。 （そして、Ubuntu 20.04のインストールを見ると、polkitをバグのないバージョンに更新すると、これが起こるようです。）

答え1

setuidビットを削除すると、 root以外のすべてのユーザーpkexec（rootには不要pkexec）の動作が停止します。

最初にすべきことの1つpkexecは有効なユーザーIDがrootであることを確認してください。:

  /* check for correct invocation */
  if (geteuid () != 0)
    {
      g_printerr ("pkexec must be setuid root\n");
      goto out;
    }

それ以外の場合はエラーが発生します。

この緩和の利点は、pkexec悪意のある行為者を含むルートを除くすべての人に対する作業が停止されることです。ただし、root以外のユーザーとして実行されているすべてのアイテムpkexecも機能しなくなるため、より良い解決策はディストリビューションから最新バージョンをインストールすることです。

アップグレードできない場合は、削除することをお勧めしますpkexec（含まれているパッケージではなくバイナリ）。一部のプログラムは、権限を高めるいくつかの方法をサポートしています。pkexec最初に試してみると失敗し、うまくいかない場合はまったく見つからない場合は別の方法を試すことができます。

関連情報