August 2021

資訊資訊

作业系统帐户的安全性 (PCI DSS Req. 2.1) – 验证本机的所有不必要的预设帐户已被删除或停用。检查目前所有的机器预设帐户是否已被删除或停用，可检查 /etc/password 内的帐户设定是否已删除或是配置 nologin，避免不必要使用者可登入进行恶意漏洞利用攻击。
重大风险应于 30 天内完成 Patch 更新 (PCI DSS Req. 6.2) – 安装适用的供应商安全补丁，确保所有系统组件和软件免受已知漏洞的影响。如供应商发布 Patch 后，应在发布后的一个月内安装关键的安全补丁。

检查目前作业系统供应商是否有释出相关 Patch，并尽可能安排时间于一个月内完成作业系统 Patch。如作业系统供应商尚未发布 Patch 则应实施缓解措施。

目前各家系统提供商正如火如荼的发布更新 Patch 来解决这次由 Qualys 安全研究团队所发布的漏洞 (CVE-2021-33909)。目前收集的风险判定 Patch 参考清单可参考下方整理表格：

來源	风险等级
NESSUS https://www.tenable.com/cve/CVE-2021-33909	NO SCORE
NIST NVD https://nvd.nist.gov/vuln/detail/CVE-2021-33909	N/A
Redhat https://access.redhat.com/security/cve/cve-2021-33909	CVSS (v3) 7.0
CVE https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-33909	Source:· MITRE

Qualys 安全研究团队目前已经验证了成功取得 root 权限的漏洞作业系统包含 Ubuntu 20.04、Ubuntu 20.10、Ubuntu 21.04、Debian 11 和 Fedora 34 Workstation 等。而其他的 Linux 作业系统也可能因为这次的漏洞产生恶意利用攻击。Linux Server 版本所对应的安全补丁整理：

作业系统	安全补丁连结
Redhat	https://access.redhat.com/security/cve/cve-2021-33909
CentOS	尚未發布
SUSE	https://www.suse.com/security/cve/CVE-2021-33909.html
ubuntu	https://ubuntu.com/security/CVE-2021-33909

如 Patch 尚未出现，可先采用的缓解做法。

sysctl kernel.unprivileged_userns_clone=1 # 将 unprivileged_userns_clone 设定为 0

sysctl kernel.unprivileged_bpf_disabled=1 # 将 unprivileged_bpf_disabled 设定为 1

技术细节请看：https://www.qualys.com/2021/07/20/cve-2021-33909/sequoia-local-privilege-escalation-linux.txt

Max Tsai

安律信息技术公司 PCI 资深合规 QSA 与顾问 - PCI QSA and Senior Consultant

• Payment Card Industry Security, IT Security Management, Cloud Service Management
• 专业认证：PCI DSS QSA, CISSP, ISO27001 LA

安律信息技术有限公司 Secure Vectors Information Technologies Inc., 是一家专门从事支付产业安全管理服务的公司，包含技术检测、顾问咨询以即合规审查服务。我们的服务范围包含 PCI DSS 、PCI 3DS、PCI PIN Security 等支付卡产业安全标准并提供个人资料保护及 GDPR 适法性查检与顾问服务。安律信息技术在美国、中国、新加坡、越南、台湾等地设有服务据点，提供完整的服务。与合规相关的产品包含认证服务(合规审查)、合规安全代管以及合规管理平台等服务。