PT-2022-7296 · Cri-O+2 · Cri-O+2

Sage Mctaggart · Publicado 2022-12-23 · Atualizado 2024-08-21 · CVE-2022-4318

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do cri-o anteriores à 1.26.0

Descrição

Foi identificada uma vulnerabilidade no cri-o que permite a inserção de linhas arbitrárias no arquivo /etc/passwd por meio de uma variável de ambiente especialmente criada. Esse problema pode permitir que um invasor comprometa a confidencialidade, a integridade e a disponibilidade das informações protegidas.

Recomendações

Para versões do cri-o anteriores à 1.26.0, atualize para a versão 1.26.0 ou posterior para resolver o problema.

Como solução temporária, considere o uso de controles de segurança adicionais, como o SELinux, para impedir qualquer dano que um contêiner possa causar com privilégios de root no host.

Correção

Enumeração de Fraquezas

CWE-913

CWE-538

Identificadores relacionados

ALT-PU-2023-1519

ALT-PU-2023-1528

AZL-39873

BDU:2024-02430

CVE-2022-4318

GHSA-CM9X-C3RH-7RC4

GO-2022-1206

OESA-2024-1406

RHSA-2023:1033

RHSA-2023:1503

Produtos afetados

Alt Linux

Red Os

Cri-O

Referências · 27

• https://github.com/cri-o/cri-o · Nota
• https://github.com/cri-o/cri-o/security/advisories/GHSA-cm9x-c3rh-7rc4 · Nota
• https://github.com/cri-o/cri-o/pull/6450 · Nota
• https://t.me/cvenotify/58627 · Publicação no Telegram
• https://redos.red-soft.ru/support/secure · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-39325 · Nota de Segurança
• https://access.redhat.com/errata/RHSA-2023:1503 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-cri-o-cve-2022-4318 · Nota
• https://access.redhat.com/errata/RHSA-2023:1033 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1706392826366529854 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2022-4318 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-4318 · Aviso do Fabricante
• https://twitter.com/DMFezzaReedCISA/status/1706431917673918736 · Publicação no Twitter
• https://osv.dev/vulnerability/OESA-2024-1406 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2022-1206 · Aviso do Fabricante