CVE-2025-52881
Təsvir
runc, OCI spesifikasiyasına uyğun olaraq konteynerləri yaratmaq və işə salmaq üçün nəzərdə tutulmuş bir CLI alətidir. Versiyalar 1.2.7, 1.3.2 və 1.4.0-rc.2-də hücumçu, ortaq mount-lara malik yarışan (racing) konteynerdən istifadə edərək runc-ı /proc-a yazılan məlumatları digər procfs fayllarına yönləndirməyə məcbur edə bilər (biz həmçinin təsdiqləmişik ki, bu hücum standart Dockerfile ilə docker buildx build vasitəsilə həyata keçirilə bilər, çünki bu da fərdiləşdirilmiş ortaq mount-larla konfiqurasiya edilmiş konteynerlərin paralel icrasını tetikləməyə imkan verir). Bu yönləndirmə tmpfs-dəki simvolik linklər və ya nəzəri olaraq adi bind-mount-lar kimi digər metodlar vasitəsilə ola bilər. Oxşar olsa da, əlaqəli olan CVE-2019-19921 üçün tətbiq edilən tədbirlər kifayət qədər məhdud idi və effektiv olaraq yalnız runc-ın LSM etiketləri yazıldıqda onların həqiqətən procfs faylları olduğunu yoxlamasına səbəb olurdu. Bu problem 1.2.8, 1.3.3 və 1.4.0-rc.3 versiyalarında düzəldilib.
Necə düzəltmək olar
- linuxfoundation runc1.2.8, 1.3.3 və ya daha yeni versiya
- github.com/opencontainers/runc1.2.8, 1.3.3, 1.4.0-rc.3 və ya daha yeni versiya
- github.com/opencontainers/selinux1.13.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation runc | v < 1.2.8, 1.3.0 ≤ v < 1.3.3, 1.4.0 | 1.2.8, 1.3.3 |
| github.com/opencontainers/runcGo | v < 1.2.8, 1.3.0-rc.1 ≤ v < 1.3.3, 1.4.0-rc.1 ≤ v < 1.4.0-rc.3 | 1.2.8, 1.3.3, 1.4.0-rc.3 |
| github.com/opencontainers/selinuxGo | v < 1.13.0 | 1.13.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.