Vulnerabilidad en los permisos de archivos Unix para los archivos en el sistema de archivos del host en containerd (CVE-2021-32760)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

19/07/2021

Última modificación:

31/01/2024

Descripción

containerd es un tiempo de ejecución de contenedores. Se ha encontrado un bug en las versiones de containerd anteriores a 1.4.8 y la 1.5.4, donde tirando y extrayendo una imagen de contenedor especialmente diseñada puede resultar en cambios en los permisos de archivos Unix para los archivos existentes en el sistema de archivos del host. Los cambios en los permisos de los archivos pueden denegar el acceso al propietario esperado del archivo, ampliar el acceso a otros, o establecer bits extendidos como setuid, setgid y sticky. Este bug no permite directamente la lectura, modificación o ejecución de archivos sin un proceso adicional de cooperación. Este bug ha sido corregido en containerd versiones 1.5.4 y 1.4.8. Como solución, asegúrese de que los usuarios sólo obtienen imágenes de fuentes de confianza. Los módulos de seguridad de Linux (LSM) como SELinux y AppArmor pueden limitar los archivos potencialmente afectados por este bug mediante políticas y perfiles que impiden que containerd interactúe con archivos específicos

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Bajo

Puntuación base 3.x

6.30

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Físico

Puntuación base 2.0

6.80

Gravedad 2.0

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:linuxfoundation:containerd::::::::		1.4.8 (excluyendo)
cpe:2.3:a:linuxfoundation:containerd::::::::	1.5.0 (incluyendo)	1.5.4 (excluyendo)
cpe:2.3:o:fedoraproject:fedora:34:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en los permisos de archivos Unix para los archivos en el sistema de archivos del host en containerd (CVE-2021-32760)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información