PT-2021-13863 · Oracle · Openjdk

Jonathan Christison + 1 · Publicado 2021-10-06 · Atualizado 2022-10-21 · CVE-2021-20264

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do OpenJDK 1.8 a 11

Descrição:

Uma falha de modificação insegura no arquivo /etc/passwd permite que um invasor com acesso ao contêiner modifique o arquivo /etc/passwd e amplie seus privilégios. A maior ameaça decorrente desse problema é à confidencialidade, à integridade e à disponibilidade do sistema.

Recomendações:

Para as versões 1.8 a 11 do openjdk, considere restringir o acesso ao arquivo /etc/passwd para minimizar o risco de exploração. Como solução temporária, limite os privilégios dentro do contêiner para impedir a escalada. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

Incorrect Privilege Assignment

Incorrect Permission

Enumeração de Fraquezas

CWE-266

CWE-732

Identificadores relacionados

CVE-2021-20264

Produtos afetados

Openjdk

Referências · 4

• https://t.me/cibsecurity/30069 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-20264 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-20264 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=1932283 · Nota