Avis du CERT-FR

Json

Objet : Vulnérabilité dans pkexec de PolicyKit sur Red Hat

Gestion du document

Référence	CERTFR-2022-AVI-084
Titre	Vulnérabilité dans pkexec de PolicyKit sur Red Hat
Date de la première version	27 janvier 2022
Date de la dernière version	27 janvier 2022
Source(s)	Bulletin de sécurité Red Hat RHSB-2022-001 du 25 janvier 2022

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Élévation de privilèges

Systèmes affectés

Red Hat Enterprise Linux versions 8 sans le correctif RHSA-2022:0267
Red Hat Enterprise Linux version 8.4.0 Extended Update Support sans le correctif RHSA-2022:0266
Red Hat Enterprise Linux versions 8.2.0 Extended Update Support sans le correctif RHSA-2022:0265
Red Hat Enterprise Linux versions 8.1.0 Update Services for SAP Solutions, Advanced Update Support sans le correctif RHSA-2022:0268
Red Hat Enterprise Linux versions 7 sans le correctif RHSA-2022:0274
Red Hat Enterprise Linux versions 7.7 Update Services for SAP Solutions, Advanced Update Support sans le correctif RHSA-2022:0273
Red Hat Enterprise Linux versions 7.6 Update Services for SAP Solutions, Advanced Update Support sans le correctif RHSA-2022:0271
Red Hat Enterprise Linux versions 7.4 Advanced Update Support sans le correctif RHSA-2022:0272
Red Hat Enterprise Linux versions 7.3 Advanced Update Support sans le correctif RHSA-2022:0270
Red Hat Enterprise Linux versions 6 Extended Life-cycle Support sans le correctif RHSA-2022:0269

L'éditeur ne propose pas de correctif pour les versions Red Hat suivantes :

Red Hat Virtualization 4 for Red Hat Enterprise Linux 8
Red Hat Virtualization 4 for Red Hat Enterprise Linux 7

Se référer au bulletin de sécurité de l'éditeur dans la section Documentation pour obtenir des informations sur une mesure de contournement basée sur PolicyKit et à appliquer au cas où l'installation du correctif n'est pas possible.

Résumé

Une vulnérabilité a été découverte dans pkexec de PolicyKit sur Red Hat. Elle permet à un attaquant de provoquer une élévation de privilèges.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Red Hat RHSB-2022-001 du 25 janvier 2022
https://access.redhat.com/security/vulnerabilities/RHSB-2022-001
Référence CVE CVE-2021-4034
https://www.cve.org/CVERecord?id=CVE-2021-4034

Gestion détaillée du document

Date	Description
27 janvier 2022	Version initiale