Pebble · Pebble · CVE-2024-3250
**Nome do software vulnerável e versões afetadas**
Versões do Pebble anteriores à 1.10.2
As versões 1.1.1, 1.4.2 e 1.7.4 do Pebble são versões corrigidas, mas todas as versões anteriores à 1.10.2 são consideradas vulneráveis.
**Descrição**
A vulnerabilidade permite que usuários locais sem privilégios leiam arquivos com permissões equivalentes às do root quando o Pebble está sendo executado como root. Isso ocorre porque a API de leitura de arquivos e o comando pebble pull associado permitem o acesso a qualquer usuário, em vez de apenas ao administrador. Se um invasor obtiver acesso local ao host do contêiner, ele poderá acessar a API `GET /v1/files?action=read` do Pebble e ler qualquer arquivo no contêiner de carga de trabalho, incluindo informações confidenciais, como chaves SSH ou senhas de banco de dados.
**Recomendações**
Para versões do Pebble anteriores à 1.10.2, atualize para a versão 1.10.2 ou posterior para resolver o problema.
Para versões do Pebble anteriores à 1.1.1, 1.4.2 e 1.7.4, atualize para a respectiva versão corrigida para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso à API `GET /v1/files?action=read` do Pebble para minimizar o risco de exploração.