CVE-2019-19921

Versões do runc até a 1.0.0-rc9

A versão 1.0.0-rc10 do runc não é afetada, pois contém a correção para este problema.

O problema está relacionado a um controle de acesso incorreto, levando à escalada de privilégios. Um invasor precisa ser capaz de criar dois contêineres com configurações personalizadas de montagem de volume e executar imagens personalizadas para explorar essa vulnerabilidade. A vulnerabilidade está relacionada ao libcontainer/rootfs linux.go. Ao criar um sistema de arquivos raiz malicioso, um invasor pode induzir o runc a não configurar corretamente os rótulos de segurança do contêiner e a não mascarar corretamente os caminhos dentro de /proc, que contêm informações potencialmente confidenciais sobre o host. Isso poderia permitir ataques diretos contra o host.

Para versões do runc até a 1.0.0-rc9, atualize para a versão 1.0.0-rc10 para resolver o problema.

Como solução alternativa temporária, considere restringir o acesso a configurações personalizadas de montagem de volume e imagens personalizadas para minimizar o risco de exploração.

Revise as políticas de acesso para garantir que usuários não confiáveis não tenham altos níveis de controle sobre a configuração de montagem do contêiner.