近日，国家信息安全漏洞库（CNNVD）收到关于Polkit 安全漏洞（CNNVD-202201-2343、CVE-2021-4034）情况的报送。成功利用此漏洞的攻击者，可在默认配置下提升本地用户权限。Polkit所有版本均受此漏洞影响。目前，Polkit官方已发布新版本修复了漏洞，请用户及时确认是否受到漏洞影响，尽快采取修补措施。

一、漏洞介绍

Polkit是一个在类 Unix操作系统中控制系统范围权限的组件，通过定义和审核权限规则，实现不同优先级进程间的通讯。Polkit存在于所有主流的Linux发行版的默认配置中，攻击者可通过修改环境变量来利用此漏洞，进而提升本地用户权限。

二、危害影响

成功利用此漏洞的攻击者，可在默认配置下提升本地用户权限。Polkit所有版本均受此漏洞影响。polkit 0.92-0.115版本均受此漏洞影响。

三、修复建议

目前，Polkit官方已发布新版本修复了漏洞，请用户及时确认是否受到漏洞影响，尽快采取修补措施。官方链接如下：

https://github.com/freedesktop/polkit/tags

本通报由CNNVD技术支撑单位——华为技术有限公司、北京知道创宇信息技术股份有限公司、上海斗象信息科技有限公司、深圳融安网络科技有限公司、南京铱迅信息技术股份有限公司、杰润鸿远（北京）科技有限公司、北京天融信网络安全技术有限公司、深信服科技股份有限公司、北京永信至诚科技股份有限公司、新华三技术有限公司、北京华顺信安科技有限公司、亚信科技（成都）有限公司、网神信息技术（北京）股份有限公司、远江盛邦（北京）网络安全科技股份有限公司、北京微步在线科技有限公司、北京安天网络安全技术有限公司、北京鸿腾智能科技有限公司、杭州迪普科技股份有限公司提供支持。

CNNVD将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与CNNVD联系。联系方式: cnnvdvul@itsec.gov.cn