Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) trong tuần này đã bổ sung một lỗ hổng Linux được đặt tên là PwnKit vào Danh mục các lỗ hổng được khai thác đã biết, trích dẫn bằng chứng về việc khai thác tích cực.
Vấn đề, được theo dõi là CVE-2021-4034 (điểm CVSS: 7,8), được đưa ra ánh sáng vào tháng 1 năm 2022 và liên quan đến trường hợp leo thang đặc quyền cục bộ trong tiện ích pkexec của polkit, cho phép người dùng được ủy quyền thực hiện lệnh với tư cách là người dùng khác.
Polkit (trước đây được gọi là PolicyKit) là một bộ công cụ để kiểm soát các đặc quyền trên toàn hệ thống trong các hệ điều hành giống Unix và cung cấp một cơ chế để các quy trình không có đặc quyền giao tiếp với các quy trình đặc quyền.
Việc khai thác thành công lỗ hổng này có thể khiến pkexec thực thi mã tùy ý, cấp quyền quản trị cho kẻ tấn công không có đặc quyền trên máy mục tiêu và làm ảnh hưởng đến máy chủ.
Không rõ ngay lập tức lỗ hổng này được vũ khí hóa như thế nào, cũng như không có bất kỳ thông tin nào về danh tính của kẻ đe dọa có thể đang khai thác nó.
Cũng có trong danh mục là CVE-2021-30533, một thiếu sót về bảo mật trong các trình duyệt web dựa trên Chromium đã bị một kẻ đe dọa quảng cáo độc hại có tên là Yosec tận dụng để cung cấp các tải trọng nguy hiểm vào năm ngoái.
Hơn nữa, cơ quan đã bổ sung thêm Mitel VoIP zero-day (CVE-2022-29499) mới được tiết lộ cũng như năm lỗ hổng Apple iOS (CVE-2018-4344, CVE-2019-8605, CVE-2020-9907, CVE-2020- 3837 và CVE-2021-30983) gần đây đã bị phát hiện là đã bị lạm dụng bởi nhà cung cấp phần mềm gián điệp RCS Lab của Ý.
Để giảm thiểu bất kỳ nguy cơ tiềm ẩn nào về việc tiếp xúc với các cuộc tấn công mạng, các tổ chức nên ưu tiên khắc phục kịp thời các vấn đề. Tuy nhiên, các Cơ quan Điều hành Dân sự Liên bang được yêu cầu bắt buộc vá lỗ hổng trước ngày 18 tháng 7 năm 2022.
.
