CVE-2020-15157

containerd (endüstri standardı bir konteyner çalışma zamanı) sürüm 1.2.14 öncesinde bir kimlik bilgisi sızıntısı zafiyeti bulunmaktadır. Eğer OCI Image formatındaki veya Docker Image V2 Schema 2 formatındaki bir konteyner imaj manifestosu, belirli bir imaj katmanının konumu için ("foreign layer" olarak da bilinir) bir URL içeriyorsa, varsayılan containerd çözücü bu URL'yi takip ederek indirme işlemini gerçekleştirmeye çalışır. v1.2.x sürümlerinde (ancak 1.3.0 ve sonrasında değil), URL'nin bulunduğu sunucu kayıt defterine özgü HTTP başlıklarıyla birlikte bir HTTP 401 durum kodu döndürürse, varsayılan containerd çözücü kimlik doğrulama bilgilerini sağlar. Bir saldırgan, katmanlardan birinin kendi kontrolündeki bir web sunucusundan alınmasını sağlayan bir manifestoya sahip genel bir imaj yayınlarsa ve bir kullanıcıyı veya sistemi bu imajı çekmeye ikna ederse, söz konusu imajı çekmek için kullanılan kimlik bilgilerini elde edebilir. Bazı durumlarda bu, kullanıcının kayıt defteri kullanıcı adı ve şifresi olabilir. Diğer durumlarda ise bu, hesaptaki diğer bulut kaynaklarına erişim sağlayabilen bulut sanal örneğine bağlı kimlik bilgileri olabilir. Varsayılan containerd çözücüsü; cri-containerd eklentisi (Kubernetes tarafından kullanılabilir), ctr geliştirme aracı ve açıkça kendisine bağlanmış diğer istemci programları tarafından kullanılır. Bu zafiyet containerd 1.2.14 sürümünde giderilmiştir. containerd 1.3 ve sonrası etkilenmemektedir. containerd 1.3 veya daha yeni bir sürüm kullanıyorsanız etkilenmezsiniz. 1.2 serisi veya öncesindeki cri-containerd'yi kullanıyorsanız, yalnızca güvenilir kaynaklardan imaj çektiğinizden emin olmalısınız. containerd üzerine inşa edilmiş ancak varsayılan çözücüyü kullanmayan diğer konteyner çalışma zamanları (Docker gibi) etkilenmemektedir.