PT-2020-3712 · Google+1 · Google Cloud+1

Chris Moberly

+1

·

Publicado

2020-06-19

·

Atualizado

2024-05-21

·

CVE-2020-8933

CVSS v4.0

9.3

Crítica

VetorAV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
**Nome do software vulnerável e versões afetadas:
Google Cloud OS guest-oslogin, versões 20190304 a 20200507
Descrição:
O problema está relacionado a configurações de permissão padrão incorretas no recurso guest-oslogin do Google Cloud OS. Isso permite que um invasor eleve seus privilégios para root. Ao ser membro do grupo lxd, um invasor pode conectar dispositivos e sistemas de arquivos do host. Dentro de um contêiner lxc, é possível conectar o sistema de arquivos do SO do host e modificar o arquivo /etc/sudoers para obter privilégios administrativos.
Recomendações:
Para as versões 20190304 a 20200507, atualize para uma imagem criada após 7 de maio de 2020.
Como solução alternativa temporária para versões que não podem ser atualizadas, edite /etc/group/security.conf e remova o usuário lxd da entrada OS Login.

Exploit

Correção

Incorrect Default Permissions

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2020-04069
CVE-2020-8933
OPENSUSE-SU-2020:0996-1
OPENSUSE-SU-2020:1014-1
OPENSUSE-SU-2020_0996-1
OPENSUSE-SU-2020_1014-1
SUSE-SU-2020:1934-1
SUSE-SU-2020:2200-1

Produtos afetados

Google Cloud
Suse