阿里云polkit pkexec 本地提权漏洞

1.引言

    最近由于各种事情好久没有访问自己的阿里云服务器控制台了，因为想了解了解云原生，所以发现可以进一步开拓自己的服务器价值，毕竟对于别的初学者来说算是割肉，但是自己作为阿里云学生机使用者，这里对学生机做一下科普，阿里云学生机算是一种对于学生而言性价比较高的服务器了，是阿里云为学生提供的一种优惠政策，在学生身份有效期内，且服务器未到期前，学生可按学生优惠价格续费，每次续费行为，续费时长在1-12个月内自行选择，实例到期时间不超过学生身份有效期，也就是每年只需要96元就能使用一个比较高性能的服务器了，到你不是学生的时候取消，当然中途应该不能停止续费。因为自己有过一定的服务器使用经验，所以对我来说学习云原生的话反而算是一种优点。为了检测自己是否还有学生机的优惠资格，登录手机阿里云发现提示了一个紧急漏洞：

    提权在网安里面算是比较危险的了，由局部直接冲向整体。

2.解决方法

    我们都知道Linux作为开源的操作系统，社区庞大，所以有bug肯定有一群大佬站出来，现在网上流行的解决方法如下（如果不是很懂的话直接CV，解决问题就行）：

yum -y install polkit #升级这个Linux自带的程序
chmod 0755 /usr/bin/pkexec #pkexec的suid权限取消

3.余下风波

    虽然很快就更新了，但是阿里云还是一直提示由漏洞，这个时候不要慌，找到漏洞检测的地方，重新检测一下漏洞，比如如下的两个地方：


    点击查看自己已经解决的漏洞，进行确认：

    最后再次回到阿里云手机app，发现安全评分也上去了，可以说算是解决了，至于还是一直提示高危漏洞，当营销处理吧，毕竟咱还是学生，学生机的使用往往就是自己小组写项目部署一下方便其他学生指点，真正使用率不是很高。平时的话如果真的想学习Linux，使用虚拟机代替也是可以的。最后就是作为程序员得能保持平静心态对待bug或者漏洞，不能像我一样看到漏洞还在急急忙忙疯狂关闭安全组端口，哈哈哈哈，本文实际内容不多，全是唠嗑，祝大家学习之旅愉快！。