Sequoia 漏洞 (CVE-2021-33909)，听听 PCI DSS 专家怎么说？

Share on social media

Categories : 新闻, 知识

資訊資訊

作业系统帐户的安全性 (PCI DSS Req. 2.1) – 验证本机的所有不必要的预设帐户已被删除或停用。检查目前所有的机器预设帐户是否已被删除或停用，可检查 /etc/password 内的帐户设定是否已删除或是配置 nologin，避免不必要使用者可登入进行恶意漏洞利用攻击。
重大风险应于 30 天内完成 Patch 更新 (PCI DSS Req. 6.2) – 安装适用的供应商安全补丁，确保所有系统组件和软件免受已知漏洞的影响。如供应商发布 Patch 后，应在发布后的一个月内安装关键的安全补丁。

检查目前作业系统供应商是否有释出相关 Patch，并尽可能安排时间于一个月内完成作业系统 Patch。如作业系统供应商尚未发布 Patch 则应实施缓解措施。

目前各家系统提供商正如火如荼的发布更新 Patch 来解决这次由 Qualys 安全研究团队所发布的漏洞 (CVE-2021-33909)。目前收集的风险判定 Patch 参考清单可参考下方整理表格：

來源	风险等级
NESSUS https://www.tenable.com/cve/CVE-2021-33909	NO SCORE
NIST NVD https://nvd.nist.gov/vuln/detail/CVE-2021-33909	N/A
Redhat https://access.redhat.com/security/cve/cve-2021-33909	CVSS (v3) 7.0
CVE https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-33909	Source:· MITRE

Qualys 安全研究团队目前已经验证了成功取得 root 权限的漏洞作业系统包含 Ubuntu 20.04、Ubuntu 20.10、Ubuntu 21.04、Debian 11 和 Fedora 34 Workstation 等。而其他的 Linux 作业系统也可能因为这次的漏洞产生恶意利用攻击。Linux Server 版本所对应的安全补丁整理：

作业系统	安全补丁连结
Redhat	https://access.redhat.com/security/cve/cve-2021-33909
CentOS	尚未發布
SUSE	https://www.suse.com/security/cve/CVE-2021-33909.html
ubuntu	https://ubuntu.com/security/CVE-2021-33909

如 Patch 尚未出现，可先采用的缓解做法。

sysctl kernel.unprivileged_userns_clone=1 # 将 unprivileged_userns_clone 设定为 0

sysctl kernel.unprivileged_bpf_disabled=1 # 将 unprivileged_bpf_disabled 设定为 1

技术细节请看：https://www.qualys.com/2021/07/20/cve-2021-33909/sequoia-local-privilege-escalation-linux.txt

Max Tsai

安律信息技术公司 PCI 资深合规 QSA 与顾问 - PCI QSA and Senior Consultant

• Payment Card Industry Security, IT Security Management, Cloud Service Management
• 专业认证：PCI DSS QSA, CISSP, ISO27001 LA

安律信息技术有限公司 Secure Vectors Information Technologies Inc., 是一家专门从事支付产业安全管理服务的公司，包含技术检测、顾问咨询以即合规审查服务。我们的服务范围包含 PCI DSS 、PCI 3DS、PCI PIN Security 等支付卡产业安全标准并提供个人资料保护及 GDPR 适法性查检与顾问服务。安律信息技术在美国、中国、新加坡、越南、台湾等地设有服务据点，提供完整的服务。与合规相关的产品包含认证服务(合规审查)、合规安全代管以及合规管理平台等服务。

PCI 安全认证: www.securevectors.com
SecuCollab 合规安全代管服务: www.secucollab.com
SecuCompliance 合规管理平台: www.secucompliance.com

* 如想了解更多合规服务，欢迎与我们联系 service@securevectors.com

你可能会喜欢看

联盟伙伴 Applus+ Laboratories 通过 EMVCo 审核,认证范围扩大至非接触式 C-8 产品测试

2026-07-06

0 评论

联盟伙伴 Applus+ Laboratories 通过 EMVCo 审核,认证范围扩大至非接触式…

科普丨你的个人隐私，谁来守护？——读懂ISO 27701隐私信息管理体系

2026-06-10

0 评论

剛聊完就跳出廣告？從 ISO 27701 隱私資訊管理系統看企業如何落實個人資訊保護與隱私合規滑手機時，你是否有過這樣的經歷：剛和朋友聊到某個產品，下一秒就收到了相關廣告推送？這種體驗常讓人細思極恐——我們的隱私數據與個人資訊保護防線，到底被誰拿走了？又是怎麼被使用的？是否會演變成嚴重的個人資料外洩事件？在當今大數據經濟時代，全面落實個人資訊保護已不再是企業的「可選項」，而是維護品牌信任度的「必答題」。而…