CVE-2021-41091
Açıklama
Moby, yazılım konteynerleştirmeyi sağlamak için Docker tarafından oluşturulmuş açık kaynaklı bir projedir. Moby'de (Docker Engine), veri dizininin (genellikle `/var/lib/docker`) yetersiz kısıtlanmış izinlere sahip alt dizinler içerdiği ve bunun da ayrıcalıksız Linux kullanıcılarının dizin içeriğinde gezinmesine ve programlar çalıştırmasına olanak tanıdığı bir hata bulunmuştur. Konteynerler genişletilmiş izin bitlerine (örneğin `setuid`) sahip yürütülebilir programlar içerdiğinde, ayrıcalıksız Linux kullanıcıları bu programları keşfedebilir ve çalıştırabilirdi. Ana makinedeki ayrıcalıksız bir Linux kullanıcısının UID'si, bir konteyner içindeki dosya sahibi veya grubuyla çakıştığında, ana makinedeki ayrıcalıksız Linux kullanıcısı bu dosyaları keşfedebilir, okuyabilir ve değiştirebilirdi. Bu hata Moby (Docker Engine) 20.10.9 sürümünde düzeltilmiştir. Kullanıcıların mümkün olan en kısa sürede bu sürüme güncellenmesi önerilir. İzinlerin düzeltilmesi için çalışan konteynerler durdurulmalı ve yeniden başlatılmalıdır. Güncelleme yapamayan kullanıcılar, ana makineye erişimi güvenilir kullanıcılarla sınırlandırmalıdır. Ana makine bölümlerine (volumes) erişim güvenilir konteynerlerle sınırlandırılmalıdır.
Nasıl düzeltilir
- mobyproject moby20.10.9 ya da sonraki bir sürüm
- github.com/moby/moby20.10.9, 20.10.9+incompatible ya da sonraki bir sürüm
- github.com/docker/docker20.10.9, 20.10.9+incompatible ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mobyproject moby | v < 20.10.9 | 20.10.9 |
| fedoraproject fedora | 34, 35 | — |
| github.com/moby/mobyGo | v < 20.10.9, v < 20.10.9+incompatible | 20.10.9, 20.10.9+incompatible |
| github.com/docker/dockerGo | v < 20.10.9, v < 20.10.9+incompatible | 20.10.9, 20.10.9+incompatible |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.