PT-2022-4745
CVE-2022-36109
·
Publicado
2022-09-09
·
Atualizado
2026-09-18
Descrição por
CVSS 2.0
7.5
AltaMétricasAV:N/AC:L/Au:N/C:P/I:P/A:P
Nome do software vulnerável e versões afetadas
Versões do Moby (Docker Engine) anteriores à 20.10.18
Descrição
O problema está relacionado à configuração incorreta de grupos suplementares no Moby (Docker Engine), o que pode permitir que um invasor com acesso direto a um contêiner contorne as restrições do grupo principal. Isso poderia potencialmente levar ao acesso a informações confidenciais ou à capacidade de executar código no contêiner. O problema pode ser explorado se um invasor manipular seu acesso ao grupo suplementar.
Recomendações
Para versões anteriores à 20.10.18, atualize para o Moby (Docker Engine) 20.10.18 para corrigir o problema.
Para usuários que não possam atualizar, não use a instrução “USER $USERNAME” no Dockerfile. Em vez disso, chame ENTRYPOINT [‘su’, “-”, “user”] para configurar os grupos suplementares corretamente.
Interrompa e reinicie os contêineres em execução para que as permissões sejam corrigidas.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾