CVE-2022-24769

Moby, yazılım konteynerleştirmeyi sağlamak ve hızlandırmak için Docker tarafından oluşturulmuş açık kaynaklı bir projedir. Moby (Docker Engine) sürüm 20.10.14 öncesinde, konteynerlerin boş olmayan devredilebilir Linux süreç yetenekleri ile hatalı şekilde başlatıldığına dair bir hata bulunmuştur; bu durum tipik olmayan bir Linux ortamı oluşturmakta ve devredilebilir dosya yeteneklerine sahip programların, `execve(2)` sırasında bu yetenekleri izin verilen kümeye yükseltmesine olanak tanımaktadır. Normalde, yürütülebilir programlar belirli izin verilmiş dosya yeteneklerine sahip olduğunda, aksi takdirde ayrıcalıklı olmayan kullanıcılar ve süreçler bu programları çalıştırabilir ve sınır kümesine kadar belirtilen dosya yeteneklerini kazanabilir. Bu hata nedeniyle, devredilebilir dosya yeteneklerine sahip yürütülebilir programlar içeren konteynerler, aksi takdirde ayrıcalıklı olmayan kullanıcıların ve süreçlerin ek olarak konteynerin sınır kümesine kadar bu devredilebilir dosya yeteneklerini kazanmasına izin vermiştir. Konteyner içinde ayrıcalık ayırımı gerçekleştirmek için Linux kullanıcılarını ve gruplarını kullanan konteynerler bundan doğrudan etkilenmektedir. Devredilebilir küme hiçbir zaman konteynerin sınır kümesinde yer alanlardan daha fazla yetenek içermediği için bu hata konteyner güvenlik kum havuzunu etkilememiştir. Bu hata Moby (Docker Engine) 20.10.14 sürümünde düzeltilmiştir. Devredilebilir yeteneklerin sıfırlanması için çalışan konteynerler durdurulmalı, silinmeli ve yeniden oluşturulmalıdır. Bu düzeltme, Moby (Docker Engine) davranışını konteynerlerin daha tipik bir Linux ortamıyla başlatılacak şekilde değiştirir. Geçici bir çözüm olarak, ana süreç başlamadan önce devredilebilir yetenekleri bırakmak için `capsh(1)` gibi bir yardımcı araç kullanacak şekilde bir konteynerin giriş noktası değiştirilebilir.