PT-2021-21101 · Buildah+7 · Buildah+7
Nalind
·
Publicado
2020-12-08
·
Atualizado
2024-06-15
·
CVE-2021-3602
CVSS v3.1
5.5
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
**Nome do software vulnerável e versões afetadas:
Versões do Buildah anteriores à 1.21.3
Descrição:
Foi encontrada uma falha de divulgação de informações no Buildah ao criar contêineres usando isolamento chroot. Processos em execução em compilações de contêineres, como comandos RUN do Dockerfile, podem acessar variáveis de ambiente de processos pai e avô. Em um ambiente de CI/CD, essas variáveis de ambiente podem incluir informações confidenciais, como credenciais de registro de contêineres, que foram compartilhadas com o contêiner para serem usadas apenas pelo próprio Buildah.
Recomendações:
Para versões anteriores à 1.21.3, atualize os pacotes ou imagens para incluir a versão 1.21.3 ou posterior.
Como solução alternativa temporária, considere invocar
buildah em um contêiner sob env -i para que ele seja iniciado com um ambiente reinicializado, o que deve impedir o vazamento.Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Buildah
Centos
Debian
Red Hat
Rocky Linux
Suse