PT-2022-4745 · Docker+4 · Moby+5
Steven Murdoch
·
Publicado
2022-09-09
·
Atualizado
2025-10-11
·
CVE-2022-36109
CVSS v2.0
7.5
Alta
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:P |
Nome do software vulnerável e versões afetadas
Versões do Moby (Docker Engine) anteriores à 20.10.18
Descrição
O problema está relacionado à configuração incorreta de grupos suplementares no Moby (Docker Engine), o que pode permitir que um invasor com acesso direto a um contêiner contorne as restrições do grupo principal. Isso poderia potencialmente levar ao acesso a informações confidenciais ou à capacidade de executar código no contêiner. O problema pode ser explorado se um invasor manipular seu acesso ao grupo suplementar.
Recomendações
Para versões anteriores à 20.10.18, atualize para o Moby (Docker Engine) 20.10.18 para corrigir o problema.
Para usuários que não possam atualizar, não use a instrução “USER $USERNAME” no Dockerfile. Em vez disso, chame ENTRYPOINT [‘su’, “-”, “user”] para configurar os grupos suplementares corretamente.
Interrompa e reinicie os contêineres em execução para que as permissões sejam corrigidas.
Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Debian
Docker
Moby
Suse