In letzter Zeit hatten es Systemadministratoren nicht gerade leicht. Viele haben nach wie vor mit den Folgen der verschiedenen Sicherheitslücken in „ Log4j “ zu kämpfen: (wird in einem neuen Tab geöffnet), die die IT-Welt in den vergangenen zwei Monaten auf den Kopf gestellt haben. Leider reißen die schlechten Nachrichten nicht ab. Die jüngste Entdeckung ist ein leicht auszunutzender Fehler in einem beliebten Linux-Programm namens pkexec.
Die Schwachstelle war in den vergangenen mehr als 12 Jahren für alle sichtbar. Glücklicherweise haben die Forscher, die den Fehler entdeckt haben, proaktiv mit den Anbietern zusammengearbeitet, sodass zum Zeitpunkt der Bekanntgabe bereits für fast alle großen Distributionen Korrekturen in deren Upstream-Repositorys verfügbar waren.
Worum handelt es sich also, welche Auswirkungen könnte dies auf Ihr Unternehmen haben und wie kann Tanium Ihnen dabei helfen?
Was ist PwnKit?
Die Sicherheitslücke (CVE-2021-4034) hat bereits einen einprägsamen Namen erhalten, und zwar von den Forschern des „ “ bei Qualys (öffnet in einem neuen Tab) , die sie entdeckt haben: PwnKit. Das liegt daran, dass sich „pkexec“ in einem Toolkit auf Anwendungsebene befindet, das als „Polkit“ (früher „PolicyKit“) bekannt ist.
Polkit wird verwendet, um nicht privilegierten Prozessen die Kommunikation mit privilegierten Prozessen in Unix-ähnlichen Betriebssystemen zu ermöglichen. Mithilfe von pkexec können Benutzer Befehle mit erweiterten Berechtigungen ausführen.
Es gibt mehrere Gründe, warum PwnKit so gefährlich ist:
- Die Sicherheitslücke ist in allen Polkit-Versionen ab 2009 vorhanden
- Pkexec ist standardmäßig auf allen gängigen Linux-Distributionen installiert
- Die Sicherheitslücke lässt sich leicht ausnutzen, und bereits wenige Stunden nach der öffentlichen Bekanntgabe war Exploit-Code verfügbar.
- Dies könnte es einem Angreifer ermöglichen, vollständige Root-Rechte auf einem angegriffenen System zu erlangen, wodurch er erheblichen Schaden anrichten könnte
Warum sollte Sie das interessieren?
PwnKit lässt sich nicht aus der Ferne ausnutzen. Diese Schwachstelle kann jedoch ausgenutzt werden, wenn sich ein Angreifer zunächst als Benutzer ohne Sonderrechte bei einem Zielsystem angemeldet hat. Das ist heutzutage relativ einfach, entweder durch Ausnutzung eines weiteren Fehlers oder durch die Verwendung von gestohlenen oder per Brute-Force-Angriff ermittelten Benutzerzugangsdaten.
Mithilfe von PwnKit kann ein Angreifer anschließend seine Berechtigungen bis hin zum Root-Zugriff ausweiten. Mit diesen Systemrechten könnten sie streng vertrauliche Daten stehlen und Ransomware sowie andere Schadsoftware überall in Ihrem Unternehmen verbreiten.
Wenn Sie Ubuntu, Debian, Red Hat oder CentOS verwenden, ist es sehr wahrscheinlich, dass Sie eine anfällige Version von pkexec einsetzen. Andere Linux-Distributionen gelten laut (wird in einem neuen Tab geöffnet) als „wahrscheinlich anfällig und vermutlich ausnutzbar“ – ebenso wie Solaris und andere Unix-ähnliche Betriebssysteme.
Glücklicherweise sind Patches verfügbar; unter , Debian (wird in einem neuen Tab geöffnet),, , , Ubuntu (wird in einem neuen Tab geöffnet),, und sowie Red Hat (wird in einem neuen Tab geöffnet),und wurden bereits Sicherheitshinweise veröffentlicht. Es wird dringend empfohlen, den Patch CVE-2021-4034 (auch bekannt als PwnKit) so bald wie möglich zu installieren. Sollten keine Patches verfügbar sein, lässt sich die Ausnutzbarkeit durch das Entfernen des SUID-Bits aus „pkexec“ mindern; dies kann jedoch den Betrieb beeinträchtigen und sollte daher als letztes Mittel betrachtet werden, wenn eine zeitnahe Bereitstellung von Patches nicht möglich ist, und zwar erst nach gründlichen Tests.
Wie kann Tanium Ihnen helfen?
Tanium bietet Ihnen die erforderliche Transparenz und Kontrolle, um anfällige pkexec-Instanzen aufzuspüren, Anzeichen für einen Missbrauch zu erkennen und das Problem in Ihrer gesamten IT-Umgebung zu beheben. Und so geht’s:
Tanium Interact: (wird in einem neuen Tab geöffnet) Ermitteln Sie potenziell anfällige Instanzen mit der Tanium-Plattform. Sollte die Installation eines Patches nicht sofort möglich sein, können Unternehmen die Abhilfemaßnahme – das Entfernen des SUID-Bits – testen und anwenden, während sie die entsprechenden Vorbereitungen für die Installation eines Patches treffen.
Tanium Patch (wird in einem neuen Tab geöffnet): Stellen Sie Patches nach Bedarf für alle unterstützten Versionen von Linux-Distributionen bereit, die in Ihrer Umgebung ausgeführt werden. Mit Tanium Patch können Unternehmen Patches schnell und in großem Umfang installieren, unabhängig davon, wie viele Endgeräte im Einsatz sind.
Tanium Comply: (wird in einem neuen Tab geöffnet) Beobachten Sie die Verringerung der Angriffsfläche im Laufe der Zeit, um Ihre Risiken und Compliance-Probleme zu identifizieren.
Wenn Sie erfahren möchten, wie Tanium Ihnen dabei helfen kann, diese Sicherheitslücke zu beheben (wird in einem neuen Tab geöffnet) oder andere Sicherheitslücken, wenden Sie sich noch heute an uns.
