polkit pkexec 本地提权漏洞(CVE-2021-4034)的修复
[
2022/08/29 21:33 | by admin ]
![不指定 不指定](images/weather/blank.gif)
2022年1月25日 qualys安全研究人员披露 CVE-2021-4034 polkit pkexec 本地提权漏洞 漏洞细节,polkit pkexec 中对命令行参数处理有误,导致参数注入,能够导致本地提权。
漏洞详情:https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034
PoC原理检测系统安装的pkexec是否存在漏洞,且具备SUID-bit权限。
修复建议
1、无法升级软件修复包的,可使用以下命令删除pkexec的SUID-bit权限来规避漏洞风险:
chmod 0755 /usr/bin/pkexec
示例:
# ll /usr/bin/pkexec
-rwsr-xr-x 1 root root /usr/bin/pkexec
# chmod 0755 /usr/bin/pkexec
# ll /usr/bin/pkexec
-rwxr-xr-x 1 root root /usr/bin/pkexec
执行前权限一般为-rwsr-xr-x ,删除SUID-bit权限后一般为-rwxr-xr-x
2、CentOS 7的用户可通过yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复),Centos 5、6、8官方已终止生命周期 (EOL)维护,建议停止使用;
3、RedHat用户建议联系红帽官方获取安全修复源后执行yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复);
4、Alibaba Cloud Linux的用户可通过yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复);
5、Anolis OS(龙蜥)的用户可通过yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复);
6、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS的用户可通过apt update policykit-1升级修复,Ubuntu 14.04、16.04、12.04官方已终止生命周期 (EOL)维护,修复需要额外付费购买Ubuntu ESM(扩展安全维护)服务,建议停止使用;
7、其他Linux发行版操作系统OS建议联系官方寻求软件包修复源。
漏洞详情:https://blog.qualys.com/vulnerabilities-threat-research/2022/01/25/pwnkit-local-privilege-escalation-vulnerability-discovered-in-polkits-pkexec-cve-2021-4034
PoC原理检测系统安装的pkexec是否存在漏洞,且具备SUID-bit权限。
修复建议
1、无法升级软件修复包的,可使用以下命令删除pkexec的SUID-bit权限来规避漏洞风险:
chmod 0755 /usr/bin/pkexec
示例:
# ll /usr/bin/pkexec
-rwsr-xr-x 1 root root /usr/bin/pkexec
# chmod 0755 /usr/bin/pkexec
# ll /usr/bin/pkexec
-rwxr-xr-x 1 root root /usr/bin/pkexec
执行前权限一般为-rwsr-xr-x ,删除SUID-bit权限后一般为-rwxr-xr-x
2、CentOS 7的用户可通过yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复),Centos 5、6、8官方已终止生命周期 (EOL)维护,建议停止使用;
3、RedHat用户建议联系红帽官方获取安全修复源后执行yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复);
4、Alibaba Cloud Linux的用户可通过yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复);
5、Anolis OS(龙蜥)的用户可通过yum update polkit升级修复(云安全中心Linux软件漏洞已支持检测修复);
6、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS的用户可通过apt update policykit-1升级修复,Ubuntu 14.04、16.04、12.04官方已终止生命周期 (EOL)维护,修复需要额外付费购买Ubuntu ESM(扩展安全维护)服务,建议停止使用;
7、其他Linux发行版操作系统OS建议联系官方寻求软件包修复源。
excel版本固定资产折旧计提表
[
2022/03/02 14:10 | by admin ]
![不指定 不指定](images/weather/blank.gif)
excel版本企业固定资产折旧每月计提表,原网站已好几年不开了,今年把它重新开出来,主页中的小站就不开了,所以选择了个linux空间(服务器太贵了,也没啥意思,只放这么个小站),只放博客,重新补上这个折旧表。
把原来的多张表(各固定资产按类别放置)改为全部放入同一张表中,比较简易直观,汇总表不变。希望对小企业的固定资产折旧计提有所帮助。功能不多,准确就行。
下载文件 (已下载 151 次)
把原来的多张表(各固定资产按类别放置)改为全部放入同一张表中,比较简易直观,汇总表不变。希望对小企业的固定资产折旧计提有所帮助。功能不多,准确就行。
![](template/marshalv3m/images/download.gif)
centos7_64安装商业版本kangle-ent-3.5.13.13-6-x64
[
2018/09/14 00:07 | by admin ]
![不指定 不指定](images/weather/blank.gif)
kangle在防cc上功能还是较好的,轻量级的防护可以用kangle来做:前端使用kangle,后端使用nginx,形成kangle+nginx+php+mysql的组合。
kangle是商业软件,网上有人发出,下面介绍单独安装kangle前端。
整个脚本如下:
#安装在kangle默认安装的目录:/vhs/kangle
#---------------------------------begin install-----------------------------------------
#!/bin/bash
cur_dir=$(pwd)
wget http://file.kangle.odata.cc/file/completed/kangle-ent-3.5.13.13-6-x64.tar.gz
tar zxvf kangle-ent-3.5.13.13-6-x64.tar.gz
cd kangle
./install.sh /vhs/kangle
cd ../
cd $cur_dir
rm -rf kangle
#导入license,否则程序无法启动。
cat>>/vhs/kangle/license.txt< 2
H4sIAAAAAAAAA5Pv5mAAA2bGdoaK//Jw
Lu+hg1yHDHgYLlTbuc1alnutmV304sXT
Jfe6r4W4L3wl0/x376d5VzyPfbeoYd1T
GuZq4nFGinMhz1fGFZVL/wmITGireLB4
dsnsMtVt859fOlutf/eR/1/vm0rGM3KO
ckbtTN504maK75GUSTt31uQK/FrltCPn
cOXlNfU+V5nf1gFtX1iQa9IOpAGFLYQh
ngAAAA==
EOF
#修改path环境,可以直接使用kangle来执行
echo 'export PATH=$PATH:/vhs/kangle/bin/' >>/etc/profile
source /etc/profile
#设置firewalld防火墙,打开80及kangle管理端口
systemctl start firewalld.service
firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd --permanent --zone=public --add-port=3311/tcp
firewall-cmd --reload
#把kangle加入自启动
echo '/vhs/kangle/bin/kangle' >>/etc/rc.local
chmod +x /etc/rc.local
/vhs/kangle/bin/kangle
#--------------------------------------------------end---------------------------------------------------
至此安装完成,下面可以访问:
http://ip:3311登录,账号:admin 密码:kangle
商业版本默认自带了一些规则,如防cc
前端可以通过默认站点反向代理到nginx所监听的端口来实现网站的访问。
kangle是商业软件,网上有人发出,下面介绍单独安装kangle前端。
整个脚本如下:
#安装在kangle默认安装的目录:/vhs/kangle
#---------------------------------begin install-----------------------------------------
#!/bin/bash
cur_dir=$(pwd)
wget http://file.kangle.odata.cc/file/completed/kangle-ent-3.5.13.13-6-x64.tar.gz
tar zxvf kangle-ent-3.5.13.13-6-x64.tar.gz
cd kangle
./install.sh /vhs/kangle
cd ../
cd $cur_dir
rm -rf kangle
#导入license,否则程序无法启动。
cat>>/vhs/kangle/license.txt<
H4sIAAAAAAAAA5Pv5mAAA2bGdoaK//Jw
Lu+hg1yHDHgYLlTbuc1alnutmV304sXT
Jfe6r4W4L3wl0/x376d5VzyPfbeoYd1T
GuZq4nFGinMhz1fGFZVL/wmITGireLB4
dsnsMtVt859fOlutf/eR/1/vm0rGM3KO
ckbtTN504maK75GUSTt31uQK/FrltCPn
cOXlNfU+V5nf1gFtX1iQa9IOpAGFLYQh
ngAAAA==
EOF
#修改path环境,可以直接使用kangle来执行
echo 'export PATH=$PATH:/vhs/kangle/bin/' >>/etc/profile
source /etc/profile
#设置firewalld防火墙,打开80及kangle管理端口
systemctl start firewalld.service
firewall-cmd --permanent --zone=public --add-port=80/tcp
firewall-cmd --permanent --zone=public --add-port=3311/tcp
firewall-cmd --reload
#把kangle加入自启动
echo '/vhs/kangle/bin/kangle' >>/etc/rc.local
chmod +x /etc/rc.local
/vhs/kangle/bin/kangle
#--------------------------------------------------end---------------------------------------------------
至此安装完成,下面可以访问:
http://ip:3311登录,账号:admin 密码:kangle
商业版本默认自带了一些规则,如防cc
前端可以通过默认站点反向代理到nginx所监听的端口来实现网站的访问。
memcached漏洞修复
[
2016/06/10 13:20 | by admin ]
![不指定 不指定](images/weather/blank.gif)
默认在启动是没有绑定ip,是匿名使用,所以需指定内网的IP使用,可以把启动方式修改下如:
memcached -d -m 1024 -u root -l 127.0.0.1 -p 11211 -c 1024 -P /tmp/memcached.pid
这是只给本机使用,防火墙只要保持原来的端口即可,不需要另开11211端口
如果是给其他机子使用,那启动方式为:
memcached -d -m 1024 -u root -l 192.168.1.2 -p 11211 -c 1024 -P /tmp/memcached.pid
这是给192.168.1.2 这台机子使用,防火墙需另开放11211端口给192.168.1.2,即:
iptables -A INPUT -p tcp -s 192.168.1.2 --dport 11211 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.1.2 --dport 11211 -j ACCEPT
如果在配置memcached时使用了启动脚本,则作如下修改:
编辑/etc/init.d/memcached
找到:
### Default variables
PORT="11211"
USER="nobody"
MAXCONN="10240"
CACHESIZE="64"
OPTIONS=""
SYSCONFIG="/etc/sysconfig/memcached"
在最后添加一行,改成:
### Default variables
PORT="11211"
USER="nobody"
MAXCONN="10240"
CACHESIZE="64"
OPTIONS=""
SYSCONFIG="/etc/sysconfig/memcached"
IP="127.0.0.1"
找到:
daemon $dirmem$prog -d -p $PORT -u $USER -c $MAXCONN -m $CACHESIZE $OPTIONS
改成:
daemon $dirmem$prog -d -p $PORT -u $USER -l $IP -c $MAXCONN -m $CACHESIZE $OPTIONS
保存退出,重启memcached服务即可
memcached -d -m 1024 -u root -l 127.0.0.1 -p 11211 -c 1024 -P /tmp/memcached.pid
这是只给本机使用,防火墙只要保持原来的端口即可,不需要另开11211端口
如果是给其他机子使用,那启动方式为:
memcached -d -m 1024 -u root -l 192.168.1.2 -p 11211 -c 1024 -P /tmp/memcached.pid
这是给192.168.1.2 这台机子使用,防火墙需另开放11211端口给192.168.1.2,即:
iptables -A INPUT -p tcp -s 192.168.1.2 --dport 11211 -j ACCEPT
iptables -A INPUT -p udp -s 192.168.1.2 --dport 11211 -j ACCEPT
如果在配置memcached时使用了启动脚本,则作如下修改:
编辑/etc/init.d/memcached
找到:
### Default variables
PORT="11211"
USER="nobody"
MAXCONN="10240"
CACHESIZE="64"
OPTIONS=""
SYSCONFIG="/etc/sysconfig/memcached"
在最后添加一行,改成:
### Default variables
PORT="11211"
USER="nobody"
MAXCONN="10240"
CACHESIZE="64"
OPTIONS=""
SYSCONFIG="/etc/sysconfig/memcached"
IP="127.0.0.1"
找到:
daemon $dirmem$prog -d -p $PORT -u $USER -c $MAXCONN -m $CACHESIZE $OPTIONS
改成:
daemon $dirmem$prog -d -p $PORT -u $USER -l $IP -c $MAXCONN -m $CACHESIZE $OPTIONS
保存退出,重启memcached服务即可