PT-2022-6151 · Docker+6 · Moby+7
Andrew G. Morgan
·
Publicado
2022-03-24
·
Atualizado
2025-10-11
·
CVE-2022-24769
CVSS v3.1
5.9
Média
| Vetor | AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões do Moby (Docker Engine) anteriores à 20.10.14
Descrição
Foi encontrado um bug no Moby (Docker Engine) em que os contêineres eram iniciados incorretamente com capacidades de processo Linux herdáveis não vazias, criando um ambiente Linux atípico e permitindo que programas com capacidades de arquivo herdáveis elevassem essas capacidades ao conjunto permitido durante
execve(2). Contêineres que incluíam programas executáveis com capacidades de arquivo herdáveis permitiam que usuários e processos, que de outra forma não teriam privilégios, ganhassem adicionalmente essas capacidades de arquivo herdáveis até o conjunto de limites do contêiner. Os contêineres que utilizam usuários e grupos Linux para realizar a separação de privilégios dentro do contêiner são os mais diretamente afetados. Esse bug não afetou a sandbox de segurança do contêiner, pois o conjunto herdável nunca continha mais capacidades do que as incluídas no conjunto de limites do contêiner.Recomendações
Para resolver o problema, atualize para a versão 20.10.14 ou posterior do Moby (Docker Engine).
Para versões anteriores à 20.10.14, pare, exclua e recrie os contêineres em execução para redefinir os recursos herdáveis.
Como solução alternativa temporária, considere modificar o ponto de entrada de um contêiner para usar um utilitário como
capsh(1) para remover os recursos herdáveis antes do início do processo principal.Exploit
Correção
Incorrect Permission
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Docker
Kubernetes Containerd
Linuxmint
Moby
Suse
Ubuntu