CVE-2021-20291
Açıklama
1.28.1 öncesindeki sürümlerde 'github.com/containers/storage' bileşeninde bir deadlock zafiyeti bulundu. Bir konteyner imajı işlendiğinde, her katman `tar` kullanılarak açılır. Bu katmanlardan biri geçerli bir `tar` arşivi değilse, bu durum kodun asla tamamlanmayan tar açılmış akışını süresiz olarak beklemesine yol açan beklenmedik bir hataya neden olur. Bir saldırgan, bu zafiyeti kullanarak kötü amaçlı bir imaj oluşturabilir ve bu imaj containers/storage kullanan bir uygulama tarafından indirilip depolandığında, Hizmet Reddi (DoS) ile sonuçlanan bir deadlock'a yol açabilir.
Nasıl düzeltilir
- storage_project storage1.28.1 ya da sonraki bir sürüm
- github.com/containers/storage1.28.1 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/R5D7XL7FL24TWFMGQ3K2S72EOUSLZMKL/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZNMB7O2UIXE34PGSCSOULGHPX5LIJBMM/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WX24EITRXVHDM5M223BVTJA2ODF2FSHI/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SPYOHNG2Q7DCAQZMGYLMENLKALGDLG3X/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| storage_project storage | v < 1.28.1 | 1.28.1 |
| redhat openshift_container_platform | 4.0 | — |
| redhat enterprise_linux | 8.0 | — |
| fedoraproject fedora | 33, 34 | — |
| github.com/containers/storageGo | v < 1.28.1 | 1.28.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.