CVE-2022-24769

Moby, proqram təminatının konteynerləşdirilməsini mümkün etmək və sürətləndirmək üçün Docker tərəfindən yaradılmış açıq mənbəli layihədir. Moby (Docker Engine)-nin 20.10.14 versiyasından əvvəlki versiyalarında belə bir xəta aşkar edilmişdir ki, burada konteynerlər yanlış şəkildə boş olmayan vərəsəlik Linux proses imkanları (capabilities) ilə başladılır, bu da atipik Linux mühiti yaradır və vərəsəlik fayl imkanlarına malik proqramlara `execve(2)` zamanı həmin imkanları icazə verilmiş dəstə (permitted set) yüksəltməyə imkan verir. Normalda, icra edilə bilən proqramlar müəyyən edilmiş icazəli fayl imkanlarına malik olduqda, digər hallarda imtiyazsız olan istifadəçilər və proseslər həmin proqramları icra edə və sərhəd dəstinə (bounding set) qədər müəyyən edilmiş fayl imkanlarını əldə edə bilirlər. Bu xəta səbəbindən, vərəsəlik fayl imkanlarına malik icra edilə bilən proqramlar ehtiva edən konteynerlər, digər hallarda imtiyazsız olan istifadəçilərin və proseslərin əlavə olaraq konteynerin sərhəd dəstinə qədər bu vərəsəlik fayl imkanlarını əldə etməsinə şərait yaratmışdır. Konteyner daxilində imtiyazların ayrılmasını həyata keçirmək üçün Linux istifadəçiləri və qruplarından istifadə edən konteynerlər bundan daha çox təsirlənir. Vərəsəlik dəst heç vaxt konteynerin sərhəd dəstinə daxil olan imkanlardan daha çox imkan ehtiva etmədiyi üçün bu xəta konteyner təhlükəsizlik qumcuvasına (sandbox) təsir etməmişdir. Bu xəta Moby (Docker Engine) 20.10.14 versiyasında düzəldilmişdir. Vərəsəlik imkanların sıfırlanması üçün işlək konteynerlər dayandırılmalı, silinməli və yenidən yaradılmalıdır. Bu düzəliş Moby (Docker Engine) davranışını dəyişərək konteynerlərin daha tipik Linux mühiti ilə başlamasını təmin edir. Müvəqqəti həll yolu kimi, əsas proses başlamazdan əvvəl vərəsəlik imkanları ləğv etmək üçün konteynerin giriş nöqtəsi (entry point) `capsh(1)` kimi utilitdən istifadə etmək üçün dəyişdirilə bilər.