PT-2020-16990 · Hashicorp+1 · Nomad Enterprise+2

Tgross · Publicado 2020-11-24 · Atualizado 2024-08-21 · CVE-2020-28348

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

HashiCorp Nomad e Nomad Enterprise, versões 0.9.0 a 0.12.7

Descrição

O recurso de sandbox do arquivo Docker do cliente no HashiCorp Nomad e no Nomad Enterprise pode ser comprometido quando não estiver explicitamente desativado ou ao usar um tipo de montagem de volume. Este problema está relacionado ao componente github.com/hashicorp/nomad/drivers/docker.

Recomendações

Para as versões 0.9.0 a 0.12.7, atualize para a versão 0.12.8, 0.11.7 ou 0.10.8 para resolver o problema.

Como solução alternativa temporária, considere desativar o recurso de sandbox do arquivo Docker do cliente até que um patch esteja disponível.

Restrinja o acesso ao componente github.com/hashicorp/nomad/drivers/docker para minimizar o risco de exploração.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2020-28348

GHSA-5X92-P4P5-33C4

GO-2022-0770

Produtos afetados

Docker

Nomad

Nomad Enterprise

Referências · 12

• https://github.com/hashicorp/nomad/issues/9303 · Nota
• https://github.com/hashicorp/nomad/blob/master/CHANGELOG.md#0128-november-10-2020 · Nota
• https://github.com/hashicorp/nomad/pull/9321 · Nota
• https://t.me/cvenotify/6083 · Publicação no Telegram
• https://discuss.hashicorp.com/t/nomad-0-12-8-0-11-7-and-0-10-8-released/17491 · Nota
• https://osv.dev/vulnerability/GO-2022-0770 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-28348 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-5x92-p4p5-33c4 · Aviso do Fabricante
• https://github.com/advisories/GHSA-5x92-p4p5-33c4 · Nota
• https://t.me/cvenotify/6591 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-28348 · Nota de Segurança
• https://t.me/cibsecurity/16764 · Publicação no Telegram