CVE-2021-3560
Red Hat Polkit Incorrect Authorization Vulnerability
Beschreibung
CVE-2021-3560 ist eine schwerwiegende Schwachstelle zur lokalen Privilegieneskalation in Polkit (PolicyKit), die es einem unprivilegierten lokalen Angreifer ermöglicht, Root-Rechte zu erlangen. Die Schwachstelle basiert auf einer fehlerhaften Autorisierungsprüfung (CWE-863) in Kombination mit unzureichender Behandlung außergewöhnlicher Bedingungen (CWE-754), wodurch Polkit dazu gebracht werden kann, die Berechtigungsprüfung für D-Bus-Anfragen zu umgehen. Ein Angreifer kann so beispielsweise neue lokale Administratorkonten erstellen und die vollständige Kontrolle über das System übernehmen. Die CISA hat CVE-2021-3560 in den KEV-Katalog aufgenommen, und mit einem CVSS-Score von 7.8 (HIGH) sowie einem EPSS-Score von 10,9 % stellt die Schwachstelle ein erhebliches Risiko für Linux-Systeme dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| polkit project | polkit | < 0.119 |
| debian | debian linux | 11.0 |
| canonical | ubuntu linux | 20.04 |
| redhat | virtualization | 4.0 |
| redhat | virtualization host | 4.0 |
| redhat | openshift container platform | 4.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172836/polkit-Authentication-Bypass.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/172846/Facebook-Fizz-Denial-Of-Service.html(Third Party Advisory, VDB Entry)
- https://bugzilla.redhat.com/show_bug.cgi?id=1961710(Issue Tracking, Patch, Vendor Advisory)
- https://github.blog/2021-06-10-privilege-escalation-polkit-root-on-linux-with-bug/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-3560(US Government Resource)
Schwachstellentyp
CWE-863: Fehlerhafte Autorisierung
Bei CVE-2021-3560 kann Polkit dazu gebracht werden, die Berechtigungsprüfung für D-Bus-Anfragen zu umgehen, was eine fehlerhafte Autorisierung (CWE-863) darstellt. Durch einen gezielt getimten Abbruch der D-Bus-Anfrage verarbeitet Polkit die Anfrage, ohne die zugehörigen Berechtigungsnachweise korrekt zu validieren, und gewährt dem Angreifer Root-Privilegien.
Mehr erfahren: CWE-863 — Incorrect Authorization
CWE-754: Unsachgemäße Prüfung auf außergewöhnliche Bedingungen
Die zweite Schwäche in CVE-2021-3560 liegt in der unzureichenden Behandlung des Szenarios, wenn eine D-Bus-Anfrage während der Berechtigungsprüfung abgebrochen wird (CWE-754). Polkit behandelt diesen Zustand nicht korrekt und interpretiert den fehlenden Absender als autorisierten Benutzer, anstatt die Anfrage abzulehnen.
Mehr erfahren: CWE-754 — Improper Check for Unusual or Exceptional Conditions
Auswirkungsanalyse
Angriffsvektor (Lokal): CVE-2021-3560 erfordert lokalen Zugriff auf das betroffene Linux-System, was die Ausnutzung auf Szenarien beschränkt, in denen ein Angreifer bereits eine Shell-Sitzung oder Codeausführung auf dem Zielsystem hat. Angriffskomplexität (Niedrig): Die Ausnutzung ist relativ einfach, da der Angriff lediglich das präzise Timing eines D-Bus-Nachrichtenabbruchs erfordert, was durch wiederholte Versuche zuverlässig gelingt. Niedrige Privilegien erforderlich: Der Angreifer benötigt nur einen unprivilegierten Benutzerzugang, um die Schwachstelle auszunutzen — keine Administrator- oder Root-Rechte. Vertraulichkeit, Integrität und Verfügbarkeit (Hoch): Eine erfolgreiche Ausnutzung ermöglicht die vollständige Kompromittierung des Systems, einschließlich der Erstellung neuer Administratorkonten, dem Zugriff auf alle Daten und der Manipulation von Systemkonfigurationen. Der CVSS-Score von 7.8 (HIGH) spiegelt die schwerwiegenden Auswirkungen wider, und der EPSS-Score von 10,9 % (93,2. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit an.
Exploit-Reifegrad
Aktive Ausnutzung: Die CISA hat CVE-2021-3560 in den Known Exploited Vulnerabilities-Katalog aufgenommen, was eine bestätigte aktive Ausnutzung belegt. Öffentlicher Exploit-Code: Detaillierter Exploit-Code und eine technische Analyse sind öffentlich verfügbar, unter anderem über einen GitHub Security Blog-Beitrag, der die Privilegieneskalation zur Root-Ebene demonstriert. Zusätzlich ist ein Exploit über Packet Storm Security verfügbar. Exploit-Wahrscheinlichkeit: Der EPSS-Score von 10,9 % (93,2. Perzentil) bestätigt eine signifikante Ausnutzungswahrscheinlichkeit, und die breite Verfügbarkeit öffentlicher Exploits senkt die Einstiegshürde für Angreifer erheblich.
Behebung
- Sicherheitsupdates installieren: Aktualisieren Sie Polkit umgehend auf eine gepatchte Version gemäß den Herstelleranweisungen. Red Hat, Debian, Canonical (Ubuntu) und andere Distributionen haben entsprechende Sicherheitsupdates veröffentlicht.
- Betroffene Distributionen aktualisieren: Stellen Sie sicher, dass alle betroffenen Systeme auf dem neuesten Stand sind: Debian Linux, Ubuntu Linux, Red Hat Virtualization, Red Hat Virtualization Host und Red Hat OpenShift Container Platform.
- Zugriffskontrollen verschärfen: Beschränken Sie lokale Benutzerzugänge auf das Minimum und implementieren Sie das Prinzip der geringsten Berechtigung, um die Angriffsfläche für lokale Privilegieneskalation zu reduzieren.
- Systemprotokolle prüfen: Untersuchen Sie Polkit-Logs und D-Bus-Nachrichtenprotokolle auf verdächtige Aktivitäten, insbesondere fehlgeschlagene oder abgebrochene Autorisierungsanfragen und unerklärliche Kontoerstellungen.
- Integritätsprüfung durchführen: Überprüfen Sie alle lokalen Benutzerkonten auf unautorisiert erstellte Administratorkonten und entfernen Sie diese. Prüfen Sie sudoers-Einträge und andere Privilegieneskationsmechanismen auf Manipulationen.
Technische Details
Schwachstellenmechanismus: CVE-2021-3560 kombiniert zwei Schwächen in Polkit: eine fehlerhafte Autorisierung (CWE-863) und eine unzureichende Behandlung außergewöhnlicher Bedingungen (CWE-754). Wenn ein unprivilegierter Benutzer eine D-Bus-Anfrage an einen Polkit-geschützten Dienst sendet und diese Anfrage unmittelbar nach dem Senden, aber vor Abschluss der Berechtigungsprüfung abbricht, tritt ein Race-Condition-Szenario ein. CVSS-Vektor (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H): Polkit versucht, den Absender der D-Bus-Nachricht zu verifizieren, findet jedoch keinen gültigen Absender mehr, da die Verbindung bereits getrennt wurde. Anstatt die Anfrage abzulehnen, behandelt Polkit den fehlenden Absender als autorisierten Root-Benutzer und gewährt die angeforderten Privilegien. Praktische Auswirkung: Ein Angreifer kann diesen Mechanismus nutzen, um über Dienste wie accounts-daemon neue Benutzerkonten mit Administratorrechten zu erstellen oder über andere D-Bus-Schnittstellen beliebige privilegierte Aktionen durchzuführen.
Häufig gestellte Fragen
Wird CVE-2021-3560 aktiv ausgenutzt?
Ja, CVE-2021-3560 wurde von der CISA in den KEV-Katalog aufgenommen, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Öffentlicher Exploit-Code ist über mehrere Quellen verfügbar, darunter detaillierte technische Analysen auf dem GitHub Security Blog. Ein Zusammenhang mit Ransomware ist derzeit nicht bekannt.
Welche Produkte sind von CVE-2021-3560 betroffen?
CVE-2021-3560 betrifft das Polkit-Projekt (PolicyKit) und damit zahlreiche Linux-Distributionen, darunter Debian Linux, Ubuntu Linux, Red Hat Virtualization, Red Hat Virtualization Host und Red Hat OpenShift Container Platform. Alle Systeme mit ungepatchten Polkit-Versionen sind potenziell anfällig.
Wie kann CVE-2021-3560 behoben werden?
Die Behebung erfolgt durch die Installation der von den jeweiligen Linux-Distributionen bereitgestellten Polkit-Sicherheitsupdates. Nach dem Patchen sollten alle lokalen Benutzerkonten auf unautorisiert erstellte Administratorkonten überprüft und die D-Bus-Protokolle auf verdächtige Aktivitäten untersucht werden.
Wie schwerwiegend ist CVE-2021-3560?
Mit einem CVSS-Score von 7.8 (HIGH) ist CVE-2021-3560 als schwerwiegend eingestuft. Die Schwachstelle ermöglicht einem unprivilegierten lokalen Angreifer die vollständige Übernahme des Systems durch Erstellung neuer Administratorkonten. Der EPSS-Score von 10,9 % (93,2. Perzentil) zeigt eine signifikante Ausnutzungswahrscheinlichkeit, die durch die breite Verfügbarkeit öffentlicher Exploits weiter erhöht wird.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.