Mcgowan

**Nome do software vulnerável e versões afetadas** Versões do containerd anteriores à 1.4.11 Versões do containerd anteriores à 1.5.7 **Descrição** Foi detectado um bug no containerd em que os diretórios raiz dos contêineres e alguns plug-ins apresentavam permissões insuficientemente restritas, permitindo que usuários Linux sem privilégios navegassem pelo conteúdo dos diretórios e executassem programas. Quando os contêineres incluíam programas executáveis com bits de permissão estendidos (como setuid), usuários Linux sem privilégios podiam descobrir e executar esses programas. Quando o UID de um usuário Linux sem privilégios no host colidia com o proprietário do arquivo ou grupo dentro de um contêiner, o usuário Linux sem privilégios no host podia descobrir, ler e modificar esses arquivos. **Recomendações** Atualize para a versão 1.4.11 ou posterior do containerd para corrigir a vulnerabilidade. Atualize para a versão 1.5.7 ou posterior do containerd para corrigir a vulnerabilidade. Como solução alternativa temporária, considere reiniciar os contêineres ou atualizar as permissões de diretório para mitigar a vulnerabilidade. Limite o acesso ao host a usuários confiáveis. Atualize as permissões de diretório nos diretórios dos pacotes de contêineres.

**Nome do software vulnerável e versões afetadas** Versões do containerd anteriores à 1.4.8 e à 1.5.4 **Descrição** O problema está relacionado a um bug no containerd que permite que o download e a extração de uma imagem de contêiner especialmente criada resultem em alterações nas permissões de arquivos Unix para arquivos existentes no sistema de arquivos do host. Alterações nas permissões de arquivo podem negar acesso ao proprietário esperado do arquivo, ampliar o acesso a outros usuários ou definir bits estendidos como setuid, setgid e sticky. Esse bug não permite diretamente que arquivos sejam lidos, modificados ou executados sem um processo cooperativo adicional. **Recomendações** Para versões do containerd anteriores à 1.4.8, atualize para a versão 1.4.8 o mais rápido possível. Para versões do containerd anteriores à 1.5.4, atualize para a versão 1.5.4 o mais rápido possível. Como solução temporária, certifique-se de que os usuários baixem imagens apenas de fontes confiáveis. Considere usar módulos de segurança do Linux (LSMs), como SELinux e AppArmor, para limitar os arquivos potencialmente afetados por este bug por meio de políticas e perfis que impeçam o containerd de interagir com arquivos específicos.

**Nome do software vulnerável e versões afetadas** Versões do containerd anteriores à 1.3.10 Versões do containerd anteriores à 1.4.4 **Descrição** O problema está relacionado à divulgação de informações na área de dados de erro do ambiente de execução do containerd. Contêineres iniciados por meio da implementação CRI do containerd que compartilham a mesma imagem podem receber variáveis de ambiente incorretas, incluindo valores definidos para outros contêineres. Se os contêineres afetados tiverem contextos de segurança diferentes, isso pode permitir que informações confidenciais sejam compartilhadas involuntariamente. **Recomendações** Atualize para a versão 1.3.10 ou posterior do containerd. Atualize para a versão 1.4.4 ou posterior do containerd. Como solução alternativa temporária, considere evitar o lançamento de vários contêineres ou pods do Kubernetes a partir da mesma imagem com variáveis de ambiente diferentes em rápida sucessão. Restrinja o uso da implementação CRI do containerd para minimizar o risco de exploração.