CVE-2021-41091

Zusammenfassung

Moby ist ein Open-Source-Projekt, das von Docker entwickelt wurde, um Software-Containerisierung zu ermöglichen. In Moby (Docker Engine) wurde ein Fehler gefunden, bei dem das Datenverzeichnis (typischerweise `/var/lib/docker`) Unterverzeichnisse mit unzureichend eingeschränkten Berechtigungen enthielt, wodurch ansonsten unprivilegierte Linux-Benutzer Verzeichnisinhalte durchsuchen und Programme ausführen konnten. Wenn Container ausführbare Programme mit erweiterten Berechtigungsbits (wie `setuid`) enthielten, konnten unprivilegierte Linux-Benutzer diese Programme entdecken und ausführen. Wenn die UID eines unprivilegierten Linux-Benutzers auf dem Host mit dem Dateieigentümer oder der Gruppe innerhalb eines Containers kollidierte, konnte der unprivilegierte Linux-Benutzer auf dem Host diese Dateien entdecken, lesen und ändern. Dieser Fehler wurde in Moby (Docker Engine) 20.10.9 behoben. Benutzer sollten so schnell wie möglich auf diese Version aktualisieren. Laufende Container sollten gestoppt und neu gestartet werden, damit die Berechtigungen korrigiert werden. Für Benutzer, die kein Upgrade durchführen können, sollte der Zugriff auf den Host auf vertrauenswürdige Benutzer beschränkt werden. Beschränken Sie den Zugriff auf Host-Volumes auf vertrauenswürdige Container.

Quellen

• CVE-2021-41091PoC

  Proof-of-Concept-Exploit für CVE-2021-41091: Moby (Docker Engine) Verzeichnis-Traversal, der es unprivilegierten Benutzern erlaubt, SUID-Binärdateien aus dem Container auf dem Host auszuführen. Enthält PoC-Skripte für Ubuntu 20.04.

• CVE-2021-41091Exploit