CVE-2020-15229

Singularity-nin (açıq mənbəli konteyner platforması) 3.1.1 versiyasından 3.6.3 versiyasına qədər olan hissəsində zəiflik mövcuddur. Path traversal-ın təhlükəsiz olmayan idarə edilməsi və `unsquashfs` daxilində yol təmizləmənin (path sanitization) olmaması səbəbindən, xüsusi hazırlanmış squashfs fayl sistemi ilə çıxarma prosesi zamanı host fayl sistemində hər hansı faylı yenidən yazmaq və ya yaratmaq mümkündür. Çıxarma prosesi, istifadəçi lokal SIF imici və ya squashfs fayl sistemi ehtiva edən tək bir fayl olan və uzaq mənbələrdən (`library://` və ya `shub://`) gələn imici işə salmağa çalışdıqda, Singularity-nin imtiyazsız (ya quraşdırma zamanı, ya da `allow setuid = no` ilə) işlədilməsi zamanı avtomatik baş verir. İmicin qurulması (build) daha ciddi şəkildə təsirlənir, çünki bu, root istifadəçisi tərəfindən istifadə edilə bilər ki, bu da hücumçuya faylları yenidən yazmağa/yaratmağa imkan verərək sistemin kompromisə düşməsinə səbəb olar; hazırda `library`, `shub` və `localimage` bootstrap metodları squashfs çıxarmasını tetikləyir. Bu problem Singularity 3.6.4 versiyasında həll edilmişdir. Bütün istifadəçilərə, xüsusilə Singularity-ni əsasən root istifadəçisi kimi imic qurmaq üçün istifadə edənlərə 3.6.4 versiyasına yüksəltmə etməkləri tövsiyə olunur. Sandbox imicləri xeyrinə tək fayllı imiclərlə imtiyazsız rejimdən müvəqqəti qaçmaqdan başqa konkret alternativ həll yolu yoxdur. İmicin qurulmasına gəldikdə isə, müvəqqəti olaraq `library` və `shub` mənbələrindən qurmaqdın qaçınmaq və bunun üçün mümkün qədər `--fakeroot` və ya VM istifadə etmək tövsiyə olunur.