PT-2020-3712 · Google+1 · Google Cloud+1
Chris Moberly
+1
·
Publicado
2020-06-19
·
Atualizado
2024-05-21
·
CVE-2020-8933
CVSS v4.0
9.3
Crítica
| Vetor | AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
**Nome do software vulnerável e versões afetadas:
Google Cloud OS guest-oslogin, versões 20190304 a 20200507
Descrição:
O problema está relacionado a configurações de permissão padrão incorretas no recurso guest-oslogin do Google Cloud OS. Isso permite que um invasor eleve seus privilégios para root. Ao ser membro do grupo
lxd, um invasor pode conectar dispositivos e sistemas de arquivos do host. Dentro de um contêiner lxc, é possível conectar o sistema de arquivos do SO do host e modificar o arquivo /etc/sudoers para obter privilégios administrativos.Recomendações:
Para as versões 20190304 a 20200507, atualize para uma imagem criada após 7 de maio de 2020.
Como solução alternativa temporária para versões que não podem ser atualizadas, edite
/etc/group/security.conf e remova o usuário lxd da entrada OS Login.Exploit
Correção
Incorrect Default Permissions
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Google Cloud
Suse