Rmcnamara-Snyk

**Nome do Software Vulnerável e Versões Afetadas** Versões do Incus 6.21.0 e inferiores IncusOS (versões afetadas não especificadas) **Descrição** O Incus é um gerenciador de contêineres de sistema e máquinas virtuais. Existe uma falha na qual um usuário capaz de iniciar contêineres com imagens personalizadas (por exemplo, um membro do grupo 'incus') pode explorar a travessia de diretório ou links simbólicos dentro da funcionalidade de templates para obter acesso de leitura e gravação arbitrário de arquivos no sistema host. Isso pode resultar na execução arbitrária de comandos no host. Especificamente, quando uma imagem utiliza um arquivo `metadata.yaml` contendo templates, os caminhos de origem e destino não são validados adequadamente quanto a links simbólicos ou travessia de diretório. Isso permite que um atacante leia arquivos arbitrários do sistema de arquivos do host e grave arquivos em locais arbitrários, potencialmente sobrescrevendo arquivos críticos do sistema. A exploração no IncusOS requer uma modificação menor no processo stage2. A vulnerabilidade permite que um usuário leia arquivos arbitrários do sistema de arquivos do host e grave arquivos no sistema de arquivos do host como root. **Recomendações** Para as versões do Incus 6.21.0 e inferiores, aplique uma correção assim que estiver disponível. Para o IncusOS, aplique uma correção assim que estiver disponível.

**Nome do Software Vulnerável e Versões Afetadas** Incus versões 6.20.0 e inferiores **Descrição** O Incus é um gerenciador de contêineres de sistema e máquinas virtuais. Um usuário com a capacidade de iniciar um contêiner com uma configuração YAML personalizada pode criar uma variável de ambiente contendo quebras de linha. Isso pode ser usado para adicionar itens de configuração adicionais no lxc.conf do contêiner devido à injeção de quebras de linha, possivelmente permitindo a adição de gatilhos de ciclo de vida arbitrários, resultando, em última instância, na execução de comandos arbitrários no host. Explorar essa vulnerabilidade no IncusOS requer uma pequena modificação na carga útil para alterar para um diretório gravável diferente na etapa de validação. O arquivo `lxc.conf` é afetado. **Recomendações** Versões anteriores a 6.20.0 são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do software vulnerável e versões afetadas: OpenPrinting CUPS versões 2.4.8 e anteriores Descrição: O problema está relacionado ao servidor cupsd, que pode ser levado a executar uma operação chmod arbitrária no argumento fornecido ao iniciar com um item de configuração Listen apontando para um link simbólico. Isso pode resultar em acesso de gravação para todos ao destino, permitindo que a permissão de qualquer arquivo de usuário ou do sistema seja alterada para gravação por todos. Em sistemas Ubuntu, essa vulnerabilidade se limita aos arquivos modificáveis pelo processo cupsd. É possível transformar a configuração do argumento Listen em controle total sobre os arquivos de configuração cupsd.conf e cups-files.conf. Ao definir posteriormente os argumentos User e Group no cups-files.conf e imprimir com uma impressora configurada por PPD com um argumento `FoomaticRIPCommandLine`, seria possível executar comandos de usuários e grupos arbitrários (que não sejam root), o que pode ser usado em sistemas Ubuntu para obter execução total de comandos como root. Recomendações: Para as versões 2.4.8 e anteriores do OpenPrinting CUPS, aplique o patch do commit ff1f8a623e090dee8a8aadf12a6a4b25efac143d para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao item de configuração Listen e ao argumento `FoomaticRIPCommandLine` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** snapd (versões afetadas não especificadas) **Descrição** O problema está relacionado ao componente snapctl dentro do snapd, que permite que um snap confinado interaja com o daemon snapd para realizar determinadas ações privilegiadas em nome do snap. Verificou-se que o snapctl não analisava corretamente os argumentos da linha de comando, permitindo que um usuário sem privilégios acionasse uma ação autorizada em nome do snap que normalmente exigiria privilégios de administrador para ser executada. Isso poderia permitir que um usuário sem privilégios realizasse um ataque de negação de serviço ou algo semelhante. A vulnerabilidade também pode permitir que um invasor remoto eleve seus privilégios. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Buildah anteriores à versão corrigida Versões do Podman anteriores à versão corrigida **Descrição** Foi encontrada uma falha no Buildah e no Podman que permite que contêineres montem locais arbitrários do sistema de arquivos do host em contêineres de compilação. Um arquivo Containerfile malicioso pode usar uma imagem fictícia com um link simbólico para o sistema de arquivos do host como fonte de montagem e fazer com que a operação de montagem monte o sistema de arquivos do host durante uma etapa RUN na hora da compilação. Os comandos dentro da etapa RUN terão então acesso de leitura e gravação ao sistema de arquivos do host, permitindo a fuga total do contêiner durante a compilação. Usuários que executam contêineres com privilégios de root são afetados, permitindo que um contêiner seja executado com acesso de leitura/gravação aos arquivos do sistema do host quando o selinux não está habilitado. Com o selinux habilitado, algum acesso de leitura é permitido. **Recomendações** Para resolver o problema, aplique o patch ao Buildah, que será então incorporado ao Podman. Certifique-se de que os controles do selinux estejam em vigor para evitar comprometer arquivos e sistemas confidenciais. Com “setenforce 0” definido, o sistema de arquivos raiz fica aberto para modificação com essa exploração. Com “setenforce 1” definido, os arquivos não podem ser alterados, mas o conteúdo do diretório `/` pode ser exibido. Como solução alternativa temporária, considere desativar a função `build` no Podman e no Buildah até que um patch esteja disponível. Restrinja o acesso ao comando `build` para minimizar o risco de exploração. Evite usar a opção `--mount=type=bind` no t

**Nome do software vulnerável e versões afetadas** Versões do BuildKit anteriores à 0.12.5 **Descrição** O problema está relacionado a uma condição de corrida que pode ocorrer quando duas etapas de compilação maliciosas são executadas em paralelo, compartilhando as mesmas montagens de cache com subcaminhos. Isso pode fazer com que arquivos do sistema host fiquem acessíveis ao contêiner de compilação. **Recomendações** Para versões anteriores à 0.12.5, atualize para a versão 0.12.5 para resolver o problema. Como solução alternativa temporária, considere evitar o uso do front-end do BuildKit proveniente de uma fonte não confiável ou a compilação de um Dockerfile não confiável contendo montagens de cache com as opções --mount=type=cache,source=...

**Nome do software vulnerável e versões afetadas** Versões do BuildKit anteriores à 0.12.5 **Descrição** O problema está relacionado a uma falha na autorização do BuildKit, permitindo que um invasor remoto execute contêineres com privilégios elevados. O BuildKit fornece APIs para a execução de contêineres interativos com base em imagens pré-compiladas, e era possível usar essas APIs para solicitar ao BuildKit que executasse um contêiner com privilégios elevados. Normalmente, a execução desses contêineres só é permitida se a permissão especial `security.insecure` estiver habilitada tanto na configuração do buildkitd quanto autorizada pelo usuário que inicializa a solicitação de compilação. **Recomendações** Para versões anteriores à 0.12.5, atualize para a versão 0.12.5 ou posterior para corrigir o problema. Como solução alternativa temporária, considere evitar o uso de front-ends do BuildKit provenientes de fontes não confiáveis. Restrinja o acesso à permissão `security.insecure` para minimizar o risco de exploração. Evite usar as APIs para executar contêineres interativos baseados em imagens compiladas até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do BuildKit anteriores à 0.12.5 **Descrição** Um frontend malicioso do BuildKit ou um Dockerfile que utilize `RUN --mount` poderia induzir o recurso que remove arquivos vazios criados para os pontos de montagem a remover um arquivo fora do contêiner, do sistema host. O problema está relacionado à restrição incorreta do nome do caminho para um diretório com acesso limitado, o que pode permitir que um invasor remoto exclua arquivos arbitrários fora do contêiner. **Recomendações** Para versões anteriores à 0.12.5, atualize para a versão 0.12.5 para resolver o problema. Como solução alternativa temporária, considere evitar o uso de front-ends do BuildKit de fontes não confiáveis ou a compilação de um Dockerfile não confiável contendo o recurso `RUN --mount`.

**Nome do Software Vulnerável e Versões Afetadas** runc versões 1.0.0-rc93 até 1.1.11 containerd versões 1.4.7 até 1.6.27 containerd versões 1.7.0 até 1.7.12 Docker versões 20.10.8 até 24.0.8 Docker versões 24.0.9 até 25.0.2 **Description** Um vazamento interno de descritor de arquivo no runc, uma ferramenta de CLI para gerar e executar contêineres no Linux de acordo com a especificação OCI, permite múltiplas evasões de contêiner. O problema ocorre porque um descritor de arquivo permanece aberto durante a operação `setcwd(2)`, mesmo quando `O CLOEXEC` é usado em todos os descritores antes da execução do código do contêiner. Isso permite que uma referência seja mantida dentro do contêiner ao configurar o diretório de trabalho para um caminho resolvido através desse descritor de arquivo. A exploração pode ocorrer de várias formas: - Um processo de contêiner recém-gerado via `runc exec` pode ter um diretório de trabalho no namespace do sistema de arquivos do host, concedendo acesso ao sistema de arquivos do host. - Uma imagem maliciosa pode usar o `runc run` para obter acesso ao sistema de arquivos do host. - Variantes desses métodos podem ser usadas para sobrescrever binários do host semi-arbitrários, permitindo a evasão completa do contêiner e a execução de código arbitrário fora do ambiente isolado. **Recommendations** Atualizar o runc para a versão 1.1.12. Atualizar o containerd para a versão 1.6.28 ou 1.7.13. Atualizar o Docker para a versão 24.0.9 ou 25.0.2. Como mitigação temporária, feche todos os descritores de arquivo desnecessários para evitar que o vazamento seja explorado.