CVE-2023-30549

Apptainer Linux üçün açıq mənbəli konteyner platformasıdır. Apptainer < 1.1.0 versiyaları və bu CVE-nin yamaqlanmadığı köhnə əməliyyat sistemlərində apptainer-suid < 1.1.8 daxil olan quraşdırmalar vasitəsilə istismar edilə bilən ext4 use-after-free qüsuru mövcuddur. Buraya Red Hat Enterprise Linux 7, Debian 10 buster (linux-5.10 paketi quraşdırılmadıqda), Ubuntu 18.04 bionic və Ubuntu 20.04 focal daxildir. Nüvədəki use-after-free qüsurları nüvəyə xidmətdən imtina və potensial olaraq imtiyazların yüksəldilməsi məqsədilə hücum etmək üçün istifadə edilə bilər. Apptainer 1.1.8 standart olaraq setuid-root rejimində extfs fayl sistemi növlərinin mount edilməsini söndürən, eyni zamanda fuse2fs istifadə edərək qeyri-setuid "rootless" rejimində extfs fayl sistemlərinin mount edilməsinə icazə verməyə davam edən yamaq ehtiva edir. Bəzi iş ətrafı həllər mümkündür. Ya apptainer-suid quraşdırmayın (1.1.0-dan 1.1.7-dək versiyalar üçün), ya da apptainer.conf faylında `allow setuid = no` təyin edin. Bu, imtiyazsız istifadəçi ad məkanlarının (user namespaces) aktiv olmasını tələb edir və apptainer 1.1.x versiyaları istisna olmaqla, digər, daha az əhəmiyyətli təsirlərlə yanaşı sif fayllarının, extfs fayllarının və squashfs fayllarının mount edilməsini qadağan edəcək. (Şifrələnmiş sif faylları da apptainer 1.1.x-də imtiyazsız rejimdə dəstəklənmir.) Alternativ olaraq, sif fayllarını etibarlı istifadəçilər, qruplar və/və ya yollarla məhdudlaşdırmaq üçün apptainer.conf/singularity.conf faylında `limit containers` seçimlərindən istifadə edin və extfs overlay fayllarının mount edilməsini qadağan etmək üçün `allow container extfs = no` təyin edin. Sonuncu seçim tək başına SIF faylları daxilində extfs overlay bölmələrinin mount edilməsini qadağan etmir, buna görə də əvvəlki seçimlər də lazımdır.