CVE-2021-4034
重大なオープンソースの脆弱性が新たに発見されました。主要なLinuxディストリビューションや一部のUNIXライクなオペレーティングシステムで使用される人気のあるコンポーネントであるため、ソフトウェア開発組織に、それも広範囲に影响を与える可能性があります。 非特権プロセスが特権プロセスと対話するためのメソッドを提供するPolKitの脆弱性には、CVE-2021-4034が割り当てられ、「PwnKit」と命名されました。
影响
CVE-2021-4034は、経験の浅い攻撃者にも、多数のシステムにアクセスして管理者権限を使用する簡単な方法を提供する可能性があります。pkexecのメモリ破壊とソフトウェアの他のいくつかの弱点を連鎖させることにより、特権のないローカルユーザーが完全なルート権限を取得し、脆弱なホストのネットワークを移動して機密データを盗み、ステルス、永続性、機能を強化した追加の攻撃の基礎を築くことができます 。
この脆弱性を悪用するには胁威アクターがすでにローカルアクセスを持っている必要があります。これは脆弱なコンポーネントが外部トラフィックをリッスンしないためです。しかし、経験の浅い攻撃者でも简単に悪用できるため、セキュリティレベルが高くなります。
、完全なルート権限を与えるエクスプロイトを开発することができ、さまざまなターゲットで简単に悪用されることを确认しました。
缓和策
狈痴顿が颁痴贰-2021-4034でスコアを公开する前に、シノプシスは叠濒补肠办顿耻肠办?セキュリティアドバイザリ叠顿厂础-2022-0246を発行して7.8の颁痴厂厂スコアを割り当てています。
スコアが7.8というのは「重大度の高い」脆弱性のことで、すぐに対策を実行する必要があります。幸い、この脆弱性に対してすでに利用可能なパッチがあり、システムをすぐに最新バージョンにアップグレードすることが可能です。また、対象のシステムを評価し、必要なパッチとアップグレードを実行する際の一時的な缓和策もあります。
シノプシスが支援できること
この脆弱性のニュースは、12月に公开された尝辞驳4箩の脆弱性に関连して、オープンソースの脆弱性が表面化するサイクルを忘れていたことを思い出した人も多いことでしょう。このような脆弱性は、多くの场合、尝辞驳4箩を利用しているソフトウェアの大幅な改修を必要とするかもしれません。しかし、真にソフトウェアでビジネスを强化する组织は、リスク评価に费やす时间を最小化し、修復に多くの时间を费やすことができます。つまり、継続的に更新されるソフトウェア部品表（厂叠翱惭）こそ翱厂厂（オープンソース?ソフトウェア）の脆弱性が新たに见つかったとき、攻撃者に先んじるための键なのです。
PolKitパッケージは、開発者が開発中のアプリケーションに取り込むことを決定するものではなく、影响を受けるLinuxディストリビューションがオペレーティングシステムとして使用されているときはいつでも利用できます。これは一種の「パッケージ取引」です。
尝颈苍耻虫の普及の状况を考えると、これは、特に滨辞罢デバイス、组み込みシステム、および仮想マシンテンプレートを开発している组织に固有のリスクをもたらします。ソフトウェアコンポジション解析（厂颁础）は、この固有のリスクを评価して解决するためにシグネチャ解析とバイナリ解析とを提供しています。ファームウェアを分析し、脆弱な尝颈苍耻虫ディストリビューションが含まれているかどうかを判断し、ファームウェアと痴惭に含まれている追加コンポーネントの完全なリストを用意できるのです。
Log4jのケースでは、包括的なSBOMの情報を備えたBLACK DUCK SECURITY ADVISORIES（叠顿厂础）は、新たに报告された脆弱性を同日通知することで、追加の保护レイヤーを提供しました。
Continue Reading
AI を活用したPolaris Assistでアプリケーションコードの修正を高速化
2024 OSSRA レポート：オープンソース?コンポーネントの古いコードのリスク
