PT-2020-16700 · Docker · Docker Engine+1

CVE-2020-27534 · Publicado 2020-12-30 · Atualizado 2024-01-31

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Docker Engine anteriores à 19.03.9

Descrição

O problema decorre do arquivo util/binfmt misc/check.go no componente Builder do Docker Engine, onde é chamada a função os.OpenFile com um caminho temporário potencialmente inseguro para o qemu-check. Esse caminho é construído usando um primeiro argumento vazio em uma chamada ioutil.TempDir.

Recomendações

Para versões do Docker Engine anteriores à 19.03.9, atualize para a versão 19.03.9 ou posterior para resolver o problema.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-27534

GHSA-6HWG-W5JG-9C6X

Produtos afetados

Docker

Docker Engine

Referências · 10

• https://github.com/moby/moby/pull/40877 · Nota
• https://github.com/moby/buildkit/pull/1462 · Nota
• https://t.me/cvenotify/7999 · Publicação no Telegram
• https://golang.org/pkg/os/#TempDir · Nota
• https://golang.org/pkg/io/ioutil/#TempDir · Nota
• http://web.archive.org/web/20200530054359/https://docs.docker.com/engine/release-notes · Nota
• https://osv.dev/vulnerability/CVE-2020-27534 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-27534 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-6hwg-w5jg-9c6x · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=1921154 · Nota