Zhenchen Wang

Quando o networking de proxy com injeção de CA está habilitado, uma compilação pode modificar seu pacote de CA antes da limpeza. Isso pode fazer com que o processo de limpeza seja bloqueado, opere fora do rootfs (sistema de arquivos raiz do ambiente de compilação) da compilação ou falhe sem interromper a compilação.

Na utilidade `lxc-copy` e na API pública `lxc container::clone()`, existe uma falha onde o processo pode seguir links simbólicos controlados por um invasor ao atualizar o arquivo `/etc/hostname` em um sistema de arquivos raiz de container copiado. Isso ocorre quando um processo de clonagem privilegiado executado como root clona um rootfs de origem que é controlado por um invasor ou menos confiável. Se um link simbólico for colocado em `etc/hostname` ou em um componente intermediário, a operação de clonagem preserva esse link. Quando o processo tenta atualizar o hostname sem a flag `LXC CLONE KEEPNAME`, a operação de gravação pode resolver fora do rootfs de destino, permitindo que o processo privilegiado trunque e sobrescreva um arquivo do host existente com o nome do container de destino.

Um erro no plugin CRI permite a restauração do `container.log` a partir de uma imagem de checkpoint sem validar um caminho de link simbólico (symlink). Isso pode resultar na leitura de um arquivo arbitrário no sistema host ao utilizar o `kubectl logs`.