PT-2022-24954 · Docker+2 · Docker+3

Wass3R · Publicado 2022-11-09 · Atualizado 2024-08-21 · CVE-2022-39395

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Vela Server anteriores à 0.16.0

Versões do Vela Worker anteriores à 0.16.0

Versões do Vela UI anteriores à 0.17.0

Descrição

O problema diz respeito às configurações padrão no Vela que permitem exploração e fugas do contêiner. Especificamente, a execução de plug-ins do Vela como contêineres Docker privilegiados pode permitir que um usuário mal-intencionado fuja do contêiner e obtenha acesso ao sistema operacional do host do worker. Além disso, a configuração padrão de repositórios permitidos permite que qualquer pessoa com uma conta no GitHub habilite um repositório dentro do Vela e execute compilações, possibilitando potencialmente a execução de código arbitrário. Os eventos habilitados por padrão também permitem pull requests, o que pode representar um risco se segredos dentro do Vela estiverem configurados para ficarem disponíveis em pull requests.

Recomendações

Para versões do Vela Server anteriores à 0.16.0, atualize para a versão 0.16.0 ou posterior e altere explicitamente as configurações padrão para configurar o Vela conforme desejado.

Para versões do Vela Worker anteriores à 0.16.0, atualize para a versão 0.16.0 ou posterior e altere explicitamente as configurações padrão para configurar o Vela conforme desejado.

Para versões do Vela UI anteriores à 0.17.0, atualize para a versão 0.17.0 ou posterior e altere explicitamente as configurações padrão para configurar o Vela conforme desejado.

Como solução alternativa temporária, considere ajustar a configuração VELA RUNTIME PRIVILEGED IMAGES do worker para que fique explicitamente vazia, utilizando a configuração VELA REPO ALLOWLIST no componente do servidor para restringir o acesso a uma lista de repositórios

Exploit

Correção

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2022-39395

GHSA-2W78-FFV6-P46W

GHSA-5M7G-PJ8W-7593

GHSA-XF39-98M2-889V

GO-2022-1100

Produtos afetados

Docker

Vela Server

Vela Ui

Vela Worker

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/39xxx/CVE-2022-39395.json · Exploit
• https://github.com/go-vela/server/commit/05558ee99d70f7d6f83bed7c8f78ac0b35fa26f4 · Correção
• https://github.com/go-vela/server/releases/tag/v0.16.0 · Nota
• https://github.com/go-vela/server/security/advisories/GHSA-5m7g-pj8w-7593 · Nota
• https://github.com/go-vela/ui/releases/tag/v0.17.0 · Nota
• https://github.com/go-vela/ui/security/advisories/GHSA-xf39-98m2-889v · Nota
• https://github.com/go-vela/worker/security/advisories/GHSA-2w78-ffv6-p46w · Nota
• https://github.com/go-vela/worker/releases/tag/v0.16.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-39395 · Nota de Segurança
• https://osv.dev/vulnerability/GO-2022-1100 · Aviso do Fabricante
• https://go-vela.github.io/docs/installation/server/reference/#vela_repo_allowlist · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2022-1100 · Nota
• https://go-vela.github.io/docs/installation/worker/reference/#vela_runtime_privileged_images · Aviso do Fabricante
• https://t.me/cibsecurity/52880 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-39395 · Aviso do Fabricante