PT-2020-5190 · Project Atomic+1 · Bubblewrap+1
Alexlarsson
·
Publicado
2020-03-31
·
Atualizado
2024-06-15
·
CVE-2020-5291
CVSS v2.0
8.5
Alta
| Vetor | AV:N/AC:M/Au:S/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Bubblewrap anteriores à 0.4.1
Descrição
O problema está relacionado ao gerenciamento inseguro de privilégios no aplicativo Bubblewrap. A exploração dessa vulnerabilidade pode permitir que um invasor remoto comprometa a confidencialidade e a integridade das informações protegidas. A vulnerabilidade pode ser explorada quando o Bubblewrap está instalado no modo setuid e o kernel suporta namespaces de usuários sem privilégios, permitindo que um invasor use a opção
bwrap --userns2 para obter permissões de root. Sabe-se que este problema afeta certas configurações de sistemas Debian, Arch e CentOS onde namespaces de usuários sem privilégios estão habilitados.Recomendações
Para versões do Bubblewrap anteriores à 0.4.1, atualize para a versão 0.4.1 ou posterior para resolver o problema. Como solução temporária, considere desativar o modo setuid do Bubblewrap até que a atualização seja aplicada. Além disso, restrinja o uso da opção
bwrap --userns2 para minimizar o risco de exploração.Correção
Improper Privilege Management
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Bubblewrap