La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a d\u00e9m\u00e9nag\u00e9 cette semaine \u00e0 ajouter<\/a> une vuln\u00e9rabilit\u00e9 Linux surnomm\u00e9e PwnKit<\/strong> \u00e0 son Catalogue des vuln\u00e9rabilit\u00e9s exploit\u00e9es connues<\/a>citant des preuves d’exploitation active.<\/p>\n Le probl\u00e8me, suivi comme CVE-2021-4034<\/a> (score CVSS : 7,8), a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 en janvier 2022 et concerne un cas d’\u00e9l\u00e9vation de privil\u00e8ges locaux dans l’utilitaire pkexec de polkit, qui permet \u00e0 un utilisateur autoris\u00e9 d’ex\u00e9cuter des commandes comme un autre utilisateur.<\/p>\n Polkit (anciennement appel\u00e9 PolicyKit) est une bo\u00eete \u00e0 outils permettant de contr\u00f4ler les privil\u00e8ges \u00e0 l’\u00e9chelle du syst\u00e8me dans les syst\u00e8mes d’exploitation de type Unix et fournit un m\u00e9canisme permettant aux processus non privil\u00e9gi\u00e9s de communiquer avec les processus privil\u00e9gi\u00e9s.<\/p>\n L’exploitation r\u00e9ussie de la faille pourrait amener pkexec \u00e0 ex\u00e9cuter du code arbitraire, accordant \u00e0 un attaquant non privil\u00e9gi\u00e9 des droits d’administration sur la machine cible et compromettant l’h\u00f4te.<\/p>\n On ne sait pas imm\u00e9diatement comment la vuln\u00e9rabilit\u00e9 est militaris\u00e9e dans la nature, et il n’y a aucune information sur l’identit\u00e9 de l’acteur mena\u00e7ant qui pourrait l’exploiter.<\/p>\n \u00c9galement inclus dans le catalogue est CVE-2021-30533<\/a>une faille de s\u00e9curit\u00e9 dans les navigateurs Web bas\u00e9s sur Chromium qui a \u00e9t\u00e9 exploit\u00e9e par un acteur de la menace malveillante surnomm\u00e9 Yosec pour fournir des charges utiles dangereuses l’ann\u00e9e derni\u00e8re.<\/p>\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/04\/1650021915_454_Haskers-Gang-donne-gratuitement-le-logiciel-malveillant-ZingoStealer-a-dautres.jpg\")
<\/a><\/div>\n