PT-2020-12535 · Anchore · Anchore Engine
Gabor Matuz
·
Publicado
2020-05-27
·
Atualizado
2020-06-03
·
CVE-2020-11075
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Anchore Engine versão 0.7.0
Descrição
Um manifesto de imagem de contêiner especialmente criado pode desencadear uma falha de escape de shell no serviço de análise do Anchore Engine durante um processo de análise de imagem. Isso pode ser executado por um usuário autenticado por meio de uma solicitação de API válida ao Anchore Engine, ou se uma imagem já adicionada que o Anchore está monitorando tiver seu manifesto alterado para explorar a mesma falha. Um ataque bem-sucedido pode executar comandos no ambiente do analisador com as mesmas permissões do usuário sob o qual o Anchore Engine é executado, incluindo acesso às credenciais que o Engine usa para acessar seu próprio banco de dados e ao ambiente do serviço do analisador do Engine em execução.
Recomendações
Para a versão 0.7.0 do Anchore Engine, atualize para a versão 0.7.1 para corrigir o problema. Como solução alternativa temporária, considere restringir o acesso ao ambiente do serviço do analisador para minimizar o risco de exploração. Evite executar o Engine diretamente ou definir explicitamente o usuário como ‘root’ para impedir acesso com privilégios elevados.
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Anchore Engine