CVE-2020-8907
Açıklama
Google Cloud Platform'un 20190304 ve 20200507 arasındaki guest-oslogin sürümlerindeki bir güvenlik açığı, yalnızca "roles/compute.osLogin" rolüne sahip olan bir kullanıcının yetkilerini root seviyesine yükseltmesine olanak tanır. Bu role sahip bir saldırgan, "docker" grubuna üyeliğini kullanarak docker çalıştırabilir ve ana bilgisayar işletim sistemini bağlayabilir. Docker içerisinde, ana bilgisayar işletim sistemi dosya sistemini değiştirmek ve yönetici ayrıcalıkları elde etmek için /etc/groups dosyasını düzenlemek mümkündür. 2020-Mayıs-07 (20200507) tarihinden sonra oluşturulan tüm imajlar düzeltilmiştir; güncelleme yapamıyorsanız, /etc/group/security.conf dosyasını düzenlemenizi ve "docker" kullanıcısını OS Login girişinden kaldırmanızı öneririz.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google guest-oslogin | 20190304.00 ≤ v ≤ 20200507.00 | — |
| opensuse leap | 15.1, 15.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.