PT-2020-15249 · Kata Containers+2 · Kata Containers+2

Publicado 2020-05-19 · Atualizado 2021-08-24 · CVE-2020-2025

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Kata Containers anteriores à 1.11.0

Descrição

A vulnerabilidade permite que uma máquina virtual convidada maliciosa grave alterações no sistema de arquivos no arquivo de imagem subjacente no host, podendo assim obter controle sobre máquinas virtuais convidadas subsequentes. Isso é particularmente preocupante, pois o Kata Containers usa o mesmo arquivo de imagem de VM em diferentes VMMs, o que também pode afetar máquinas virtuais baseadas em QEMU e Firecracker.

Recomendações

Para versões anteriores à 1.11.0, atualize para a versão 1.11.0 ou posterior para resolver o problema.

Correção

Improper Access Control

Improper Preservation of Permissions

Enumeração de Fraquezas

CWE-284

CWE-281

Identificadores relacionados

CVE-2020-2025

Produtos afetados

Firecracker

Kata Containers

Qemu

Referências · 6

• https://github.com/kata-containers/runtime/pull/2487 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2020-2025 · Nota de Segurança
• https://linux.oracle.com/errata/ELSA-2020-5766.html · Aviso do Fabricante
• https://linux.oracle.com/errata/ELSA-2020-5765.html · Aviso do Fabricante
• https://t.me/k8security/374 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-2025 · Aviso do Fabricante