Vulnerabilidad en la biblioteca imgcrypt (CVE-2022-24778)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

25/03/2022

Última modificación:

07/11/2023

Descripción

La biblioteca imgcrypt proporciona extensiones de la API para que containerd admita imágenes de contenedor cifradas e implementa la herramienta de línea de comandos ctd-decoder para que containerd la use para descifrar imágenes de contenedor cifradas. La función imgcrypt "CheckAuthorization" es supuesto que comprueba si el usuario actual está autorizado a acceder a una imagen encriptada y evita que el usuario ejecute una imagen que otro usuario haya desencriptado previamente en el mismo sistema. En versiones anteriores a 1.1.4, es producido un fallo cuando es usada una imagen con una ManifestList y la arquitectura del host local no es la primera de la ManifestList. Sólo es comprobada la primera arquitectura de la lista, que podía no presentar sus capas disponibles localmente al no poder ejecutarse en la arquitectura del host. Por lo tanto, el veredicto sobre las capas no disponibles fue que la imagen podía ser ejecutada anticipando que el fallo de ejecución de la imagen ocurriría más tarde debido a que las capas no estaban disponibles. Sin embargo, este veredicto de permitir la ejecución de la imagen permitía a otras arquitecturas de la ManifestList ejecutar una imagen sin proporcionar claves si esa imagen había sido descifrada previamente. Ha sido aplicado un parche a imgcrypt versión 1.1.4. Las mitigaciones pueden incluir el uso de diferentes espacios de nombres para cada usuario remoto

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 2.0

5.00

Gravedad 2.0

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:linuxfoundation:imgcrypt::::::::		1.1.4 (excluyendo)
cpe:2.3:o:fedoraproject:fedora:34:::::::*
cpe:2.3:o:fedoraproject:fedora:35:::::::*
cpe:2.3:o:fedoraproject:fedora:36:::::::*

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en la biblioteca imgcrypt (CVE-2022-24778)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información