CVE-2024-36621

Nome do software vulnerável e versões afetadas:

moby versão 25.0.5

Descrição:

O problema está relacionado a uma condição de corrida no arquivo builder/builder-next/adapters/snapshot/layer.go. Isso poderia ser usado para acionar compilações simultâneas que invocam a função EnsureLayer, resultando em vazamentos ou esgotamento de recursos. A vulnerabilidade pode permitir que um invasor remoto provoque uma negação de serviço.

Recomendações:

Para a versão 25.0.5 do moby, considere desativar a função EnsureLayer como uma solução temporária para impedir que compilações simultâneas a invoquem e causem vazamentos ou esgotamento de recursos. Restrinja o acesso ao arquivo layer.go para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.