Ultimamente non è stato un periodo facile per gli amministratori di sistema. Molti stanno ancora affrontando le conseguenze delle varie vulnerabilità di “ Log4j ” (si apre in una nuova scheda), che negli ultimi due mesi hanno sconvolto il mondo dell’informatica. Purtroppo, le cattive notizie continuano ad arrivare. L'ultima scoperta riguarda un bug facilmente sfruttabile presente in un noto programma di " Linux " denominato pkexec.
La falla è rimasta nascosta in bella vista negli ultimi 12 anni e più. Fortunatamente, i ricercatori che hanno individuato la vulnerabilità hanno collaborato in modo proattivo con i fornitori e, al momento dell’annuncio, quasi tutte le principali distribuzioni disponevano già delle correzioni nei propri repository upstream.
Di cosa si tratta, quali potrebbero essere le ripercussioni sulla vostra organizzazione e in che modo Tanium può esservi d’aiuto?
Che cos’è PwnKit?
Alla vulnerabilità (CVE-2021-4034) è già stato attribuito un nome accattivante dai ricercatori dell’ , disponibili all’indirizzo Qualys (si apre in una nuova scheda) , che l’hanno individuata: PwnKit. Questo perché pkexec fa parte di un toolkit a livello di applicazione denominato Polkit (precedentemente noto come PolicyKit).
Polkit viene utilizzato per consentire ai processi non privilegiati di comunicare con i processi privilegiati nei sistemi operativi di tipo Unix. Inoltre, grazie a pkexec, consente agli utenti di eseguire comandi con privilegi elevati.
Esistono diversi motivi per cui PwnKit è così pericoloso:
- La vulnerabilità è presente in tutte le versioni di Polkit a partire dalla 2009
- Pkexec è installato di default su tutte le principali distribuzioni di Linux
- È facile da sfruttare e il codice di exploit era già disponibile poche ore dopo la divulgazione pubblica
- Ciò potrebbe consentire a un autore di attacchi di ottenere pieni privilegi di root su un sistema preso di mira, permettendogli di causare gravi danni
Perché dovrebbe interessarLe?
PwnKit non è sfruttabile da remoto. Tuttavia, tale vulnerabilità può essere sfruttata qualora un malintenzionato abbia effettuato l’accesso a un sistema bersaglio inizialmente con privilegi limitati. Al giorno d’oggi è piuttosto facile farlo, sia sfruttando un altro bug, sia utilizzando credenziali utente compromesse o ottenute tramite attacchi di forza bruta.
Sfruttando PwnKit, un malintenzionato può quindi elevare i propri privilegi fino al livello di root. Grazie a tali diritti di sistema, potrebbero sottrarre dati altamente riservati e diffondere ransomware e altri malware in ogni angolo della Sua organizzazione.
Se utilizza Ubuntu, Debian, Red Hat o CentOS, è probabile che stia utilizzando una versione vulnerabile di pkexec. Si ritiene che altre distribuzioni di Linux , , siano (si apre in una nuova scheda) “probabilmente vulnerabili e probabilmente sfruttabili” — così come potrebbero esserlo Solaris e altri sistemi operativi di tipo Unix.
Fortunatamente sono disponibili delle patch; i siti , Debian (si apre in una nuova scheda),, , , Ubuntu , (si apre in una nuova scheda),, e , Red Hat , (si apre in una nuova scheda),e hanno già pubblicato delle note informative. Si raccomanda vivamente di applicare la patch CVE-2021-4034 (nota anche come PwnKit) il prima possibile. Qualora non fossero disponibili patch, la rimozione del bit SUID da pkexec ridurrà la vulnerabilità all’exploit, ma potrebbe influire sul funzionamento del sistema e dovrebbe essere considerata una misura di mitigazione di ultima istanza, da adottare solo qualora non fosse possibile applicare le patch in tempi rapidi e solo dopo aver effettuato test approfonditi.
In che modo può esservi d’aiut Tanium ?
Tanium è in grado di fornire la visibilità e il controllo necessari per individuare le istanze vulnerabili di pkexec, riconoscere i segnali di sfruttamento e risolvere il problema in tutto il Suo ambiente IT. Ecco come fare:
Tanium Interact : (si apre in una nuova scheda) Individuate le istanze potenzialmente vulnerabili con la piattaforma Tanium . Qualora non fosse possibile applicare immediatamente la patch, le organizzazioni possono testare e attuare la misura di mitigazione consistente nella rimozione del bit SUID, mentre si preparano ad applicare la patch in modo adeguato.
Tanium Patch (si apre in una nuova scheda): Fornite le patch necessarie per qualsiasi versione supportata delle distribuzioni Linux in esecuzione nel vostro ambiente. Tanium Patch consente alle organizzazioni di applicare le patch in modo rapido e su larga scala, indipendentemente dal numero di endpoint in funzione.
Tanium Comply : (si apre in una nuova scheda) Monitorare la riduzione della superficie di attacco nel tempo per identificare l’esposizione ai rischi e alla conformità.
Se desidera scoprire in che modo Tanium possa aiutarLa a mitigare questa vulnerabilità (si apre in una nuova scheda) o qualsiasi altra, La invitiamo a contattarci oggi stesso.
