Intel

CVE-2021-4034

Red Hat Polkit — Red Hat Polkit Out-of-Bounds Read and Write Vulnerability

criticalRansomwareKEV: aktiv ausgenutztPoCEPSS 95 %

Beschreibung

Ein lokaler Berechtigungserhöhungsschwachpunkt wurde im polkit's pkexec-Utility gefunden. Die pkexec-Anwendung ist ein setuid-Werkzeug, das so konzipiert ist, dass unprivilegierte Benutzer Befehle als privilegierte Benutzer gemäß vordefinierten Richtlinien ausführen können. Die aktuelle Version von pkexec behandelt die Anzahl der Aufrufparameter nicht korrekt und versucht am Ende Umgebungsvariablen als Befehle auszuführen. Ein Angreifer kann dies ausnutzen, indem er Umgebungsvariablen so gestaltet, dass sie pkexec veranlassen, beliebigen Code auszuführen. Wenn der Angriff erfolgreich ausgeführt wird, kann er zu einer lokalen Berechtigungserhöhung führen und unprivilegierten Benutzern administrative Rechte auf dem Zielgerät geben.

Quelle: CISA_KEVNVDCVEORGSIEMENS_ADVISORYCVELISTV5

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

CVE-2021-4034 (PwnKit) ist eine lokale Privilegieneskalation mit CVSS 7.8 (AV:L) und einem EPSS-Wert im 99,9. Perzentil — nahezu jede Linux-Distribution der letzten 12 Jahre ist betroffen, und öffentliche, stabile Exploits sind seit Januar 2022 verfügbar. CISA hat die Schwachstelle als aktiv in Ransomware-Kampagnen genutzt eingestuft, was bedeutet, dass sie typischerweise als Post-Exploitation-Schritt nach einem initialen Zugang (z. B. über eine Web-Applikation oder kompromittierte Credentials) eingesetzt wird, um von einem unprivilegierten Shell-Zugang zu root zu eskalieren. Für KRITIS-Organisationen und NIS2-pflichtige Betreiber mit Linux-basierten Produktivsystemen, OT-Gateways oder CI/CD-Infrastruktur ist das Risiko als kritisch einzustufen, auch wenn der CVSS-Basiswert durch den lokalen Angriffsvektor auf 7.8 begrenzt ist — in realen Angriffsketten ist der lokale Zugang selten das Hindernis.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Patch einspielen (höchste Priorität): Red Hat stellt Korrekturen über RHSA-2022:0267 (RHEL 8), RHSA-2022:0268 (RHEL 7) und weitere produktspezifische Advisories bereit — yum update polkit bzw. dnf update polkit auf allen betroffenen Systemen sofort ausführen. Für RHEL-SAP-Varianten und IBM Z das jeweilige RHSA im Red Hat Customer Portal verifizieren.
  • Nicht patchbare Systeme isolieren: Linux-Hosts, die keinen sofortigen Patch erhalten können (z. B. eingefroren wegen Change-Freeze), vom internen Netz segmentieren oder zumindest interaktive Remote-Logins auf das absolute Minimum reduzieren — kein direkter SSH-Zugang für nicht-privilegierte Nutzer.
  • SUID-Bit auf pkexec temporär entfernen: Als Sofort-Kompensation chmod 0755 /usr/bin/pkexec (SUID-Bit entfernen) auf nicht sofort patchbaren Hosts ausführen. Dies bricht abhängige PolicyKit-Workflows, verhindert aber die Ausnutzung. Auswirkungen auf Dienste (z. B. GNOME, NetworkManager) vorher prüfen.
  • Privilegierte Konten auditieren: Sicherstellen, dass lokale Nutzerkonten auf exponierten Systemen dem Least-Privilege-Prinzip entsprechen — jeder lokale Nutzer mit Shell-Zugang ist ein potenzieller Angreifer für diese Schwachstelle.
  • Exploit-Artefakte suchen: Sofortige Suche nach bekannten PoC-Artefakten (Dateinamen GCONV_PATH, pwnkit, pkexec in ungewöhnlichen Verzeichnissen) auf allen Linux-Endpunkten via EDR oder find / -name "GCONV_PATH" 2>/dev/null.

Runbook · Schritt 2

Mitigation-Layer

  • SUID-Bit-Härtung (Endpoint): Wo pkexec nicht benötigt wird, dauerhaft chmod 0755 /usr/bin/pkexec setzen und per Konfigurationsmanagement (Ansible, Puppet, Chef) erzwingen, damit der Zustand nach Updates nicht zurückgesetzt wird.
  • Systemd-Service-Isolation: Dienste, die pkexec intern nutzen, in separaten Systemd-Units mit NoNewPrivileges=yes und PrivateTmp=yes betreiben, um den Blast-Radius einer Kompromittierung zu begrenzen.
  • SELinux / AppArmor aktivieren und enforcing setzen: Auf RHEL-Systemen SELinux im Enforcing-Modus belassen — der Standard-SELinux-Policy auf RHEL schränkt die Ausnutzbarkeit von CVE-2021-4034 nachweislich ein, auch wenn er sie nicht vollständig blockiert.
  • Netzwerk-Segmentierung für Management-Zugänge: SSH-Zugang zu Linux-Servern auf dedizierte Jump-Hosts oder Management-VLANs beschränken (Port 22 nur aus definierten Quell-IP-Bereichen). Reduziert die Angriffsfläche, da die Schwachstelle lokalen Zugang voraussetzt.
  • IDS/EDR-Signatur aktivieren: Auf EDR-Plattformen (CrowdStrike, SentinelOne, Wazuh) die spezifischen Regeln für CVE-2021-4034 / PwnKit aktivieren — die meisten Anbieter haben diese innerhalb von 48 h nach Disclosure bereitgestellt.
  • Paketintegrität überwachen: AIDE oder ein vergleichbares File-Integrity-Monitoring-Tool so konfigurieren, dass Änderungen an /usr/bin/pkexec und /usr/lib/polkit-1/ sofort alarmieren.

Runbook · Schritt 3

Detection-Regeln

  • Auditd — ungewöhnliche execve-Aufrufe durch pkexec: auditd-Regel "-a always,exit -F exe=/usr/bin/pkexec -S execve -k pkexec_exec" aktivieren; im Angriffsszenario führt pkexec eine Umgebungsvariable als Befehl aus — der resultierende Kindprozess hat einen unerwarteten Elternprozess (ppid = pkexec-PID) und einen ungewöhnlichen argv[0].
  • Sysmon for Linux — Prozessbaum-Anomalie: EventID 1 (ProcessCreate): ParentImage endswith "pkexec" AND User != "root" AND Image not in ("/usr/bin/pkexec", bekannte PolicyKit-Binaries) — ein Shell-Prozess (bash, sh, python) als Kind von pkexec ist ein starkes Indiz.
  • EDR/SIEM — GCONV_PATH-Artefakt: Suche nach Dateisystem-Events (inotify/EDR), die GCONV_PATH als Verzeichnisname oder Dateiname anlegen: file.path contains "GCONV_PATH" — dies ist ein charakteristisches Merkmal aller bekannten PoC-Implementierungen.
  • Linux Auditd — SUID-Ausführung mit Umgebungsmanipulation: KQL-Snippet (Elastic/Wazuh): event.type:"process" AND process.executable:"/usr/bin/pkexec" AND process.args_count:<2 — pkexec ohne Argumente oder mit leerem argv ist ein Exploit-Indikator.
  • File-Integrity-Alert: Alarm bei Änderungen an /usr/bin/pkexec (Mtime, Inode, Hash) außerhalb geplanter Patch-Fenster — deutet auf Austausch der Binary oder Post-Exploitation-Persistenz hin.

Metriken

Severity
critical
Priority-Score
199.60
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
7.8
Quelle: nvd-v3
CVSS v3
7.8
CVSS v4
—
EPSS-Perzentil
99.9 %
Kritisch — CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
EPSS-Score
94.9 %
Hoch — Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
Veröffentlicht
2022-06-27 00:00 UTC
CWE
CWE-787

Weakness-Klassen (CWE)

  • CWE-787Base

    Out-of-bounds Write

    The product writes data past the end, or before the beginning, of the intended buffer.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-08-15 04:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2021-4034","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technical… → {"id":"CVE-2021-4034","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technical…

Betroffene Betriebssysteme

  • linux

    redhat / enterprise_linux8.0

  • linux

    redhat / enterprise_linux_desktop7.0

  • linux

    redhat / enterprise_linux_eus8.2

  • linux

    redhat / enterprise_linux_for_ibm_z_systems7.0

  • linux

    redhat / enterprise_linux_for_ibm_z_systems8.0

  • linux

    redhat / enterprise_linux_for_ibm_z_systems_eus8.2

  • linux

    redhat / enterprise_linux_for_ibm_z_systems_eus8.4

  • linux

    redhat / enterprise_linux_for_power_big_endian7.0

  • linux

    redhat / enterprise_linux_for_power_little_endian7.0

  • linux

    redhat / enterprise_linux_for_power_little_endian8.0

  • linux

    redhat / enterprise_linux_for_power_little_endian_eus8.1

  • linux

    redhat / enterprise_linux_for_power_little_endian_eus8.2

  • linux

    redhat / enterprise_linux_for_power_little_endian_eus8.4

  • linux

    redhat / enterprise_linux_for_scientific_computing7.0

  • linux

    redhat / enterprise_linux_server6.0

  • linux

    redhat / enterprise_linux_server7.0

  • linux

    redhat / enterprise_linux_server_aus7.3

  • linux

    redhat / enterprise_linux_server_aus7.4

  • linux

    redhat / enterprise_linux_server_aus7.6

  • linux

    redhat / enterprise_linux_server_aus7.7

  • linux

    redhat / enterprise_linux_server_aus8.2

  • linux

    redhat / enterprise_linux_server_aus8.4

  • linux

    redhat / enterprise_linux_server_eus8.4

  • linux

    redhat / enterprise_linux_server_tus7.6

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • oracle

    http_server

  • oracle

    zfs_storage_appliance_kit

  • polkit_project

    polkit121

  • redhat

    enterprise_linux_server_update_services_for_sap_solutions

  • siemens

    sinumerik_edge3.3.0

  • starwindsoftware

    command_center

  • starwindsoftware

    starwind_virtual_san

  • suse

    enterprise_storage

  • suse

    linux_enterprise_high_performance_computing

  • suse

    manager_proxy

  • suse

    manager_server

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte Empfehlungen

IDCVE-2021-4034