Peneliti Security dari Qualys telah mengungkapkan cacat pada komponen Polkit (sebelumnya PolicyKit) yang ada di semua distribusi GNU/Linux untuk mengontrol hak istimewa di seluruh sistem.
Menurut para peneliti, kerentanan (CVE-2021-4034) ditemukan di alat pkexec PolicyKit , yang salah menangani argumen baris perintah. Hal ini dapat menyebabkan peningkatan hak istimewa lokal, yang memungkinkan setiap pengguna biasa dalam distribusi GNU/Linux untuk mendapatkan hak administratif dan menjalankan program sebagai administrator (root).
Kabar buruknya adalah alat pkexec PolicyKit rentan selama lebih dari 12 tahun, sejak dibuat pada Mei 2009, dan dapat dieksploitasi bahkan jika daemon Polkit tidak berjalan.
Sementara para peneliti dari Qualys belum mempublikasikan eksploit mereka, mereka mengatakan bahwa kerentanan "dapat dieksploitasi secara sepele" dan memperingatkan pengguna Linux bahwa peneliti lain mungkin mempublikasikan eksploit mereka segera setelah patch tersedia di sebagian besar distribusi.
Kabar baiknya adalah bahwa sebagian besar distribusi GNU/Linux utama telah menerima versi patch dari paket Polkit. Pada saat penulisan, Debian menerbitkan patch untuk sistem Debian GNU/Linux 10 "Buster" dan Debian GNU/Linux 11 "Bullseye", dan patch yang diterbitkan Canonical untuk semua rilis Ubuntu yang didukungnya.
Red Hat dan Proyek Fedora juga sedang menguji patch untuk semua rilis Red Hat Enterprise Linux dan Fedora Linux yang didukung, dan, tentu saja, kerentanan Polkit sekarang ditambal di distribusi rilis bergulir populer seperti Arch Linux dan openSUSE Tumbleweed.
Jika distro Anda belum menerima patch untuk ini Kerentanan Polkit, peneliti Qualys menyarankan Anda menghapus bit SUID dari alat pkexec sebagai mitigasi sementara dengan menjalankan perintah di bawah ini di terminal emulator.
sudo chmod 0755 /usr/bin/pkexec
Tanpa basa-basi lagi, ambil artikel ini sebagai pengingat untuk selalu memperbarui distribusi GNU/Linux Anda dan jangan abaikan pembaruan dan patch keamanan saat tersedia untuk penginstalan. Jika Anda sudah up-to-date, maka Anda tidak perlu khawatir tentang kelemahan PolicyKit ini lagi.
Sumber: Google, 9to5linux.com
