PT-2020-10295 · Open Container Initiative+7 · Runc+7
Cyphar
·
Publicado
2016-08-03
·
Atualizado
2024-12-06
·
CVE-2019-19921
CVSS v3.1
7.0
Alta
| Vetor | AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do runc até a 1.0.0-rc9
A versão 1.0.0-rc10 do runc não é afetada, pois contém a correção para este problema.
Descrição
O problema está relacionado a um controle de acesso incorreto, levando à escalada de privilégios. Um invasor precisa ser capaz de criar dois contêineres com configurações personalizadas de montagem de volume e executar imagens personalizadas para explorar essa vulnerabilidade. A vulnerabilidade está relacionada ao libcontainer/rootfs linux.go. Ao criar um sistema de arquivos raiz malicioso, um invasor pode induzir o runc a não configurar corretamente os rótulos de segurança do contêiner e a não mascarar corretamente os caminhos dentro de /proc, que contêm informações potencialmente confidenciais sobre o host. Isso poderia permitir ataques diretos contra o host.
Recomendações
Para versões do runc até a 1.0.0-rc9, atualize para a versão 1.0.0-rc10 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso a configurações personalizadas de montagem de volume e imagens personalizadas para minimizar o risco de exploração.
Revise as políticas de acesso para garantir que usuários não confiáveis não tenham altos níveis de controle sobre a configuração de montagem do contêiner.
Correção
Race Condition
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Red Hat
Rocky Linux
Suse
Ubuntu
Runc