Vulnerability i Docker e hiki ai iā ʻoe ke pakele mai ka pahu

I ka Toolkit no ka hoʻokele ʻana i nā pahu Docker Linux i hoʻokaʻawale ʻia ʻike ʻia pilikia (CVE-2018-15664), ka mea, ma lalo o kekahi mau kūlana, hiki iā ʻoe ke komo i ka puni hoʻokipa mai kahi pahu inā loaʻa iā ʻoe ka hiki ke hoʻomaka i kāu mau kiʻi ma ka ʻōnaehana a i ʻole ke komo ʻana i kahi pahu holo. ʻIke ʻia ka pilikia ma nā ʻano āpau o Docker a hoʻomau ʻole ʻia (i manaʻo ʻia, akā ʻaʻole i ʻae ʻia, popōna, ka mea e hoʻokō i ka hoʻokuʻu ʻana o ka pahu i ka wā e hana ana i nā hana me ka FS).

Hāʻawi ka nāwaliwali i nā faila e lawe ʻia mai kahi pahu i kahi ʻāpana ʻole o ka ʻōnaehana faila o ka host host i ka wā e hoʻokō ai i ke kauoha "docker cp". Hana ʻia ka unuhi ʻana i nā faila me nā kuleana kumu, kahi e hiki ai ke heluhelu a kākau paha i nā faila i loko o ke kaiapuni hoʻokipa, lawa ia e loaʻa ai ka mana o ka ʻōnaehana host (no ka laʻana, hiki iā ʻoe ke overwrite /etc/shadow).

Hiki ke hoʻouka ʻia ka hoʻouka ʻana i ka wā e hoʻokō ai ka luna hoʻomalu i ke kauoha "docker cp" e kope i nā faila i a i ʻole mai ka ipu. No laila, pono ka mea hoʻouka e hōʻoia i ka luna Docker i ka pono e hana i kēia hana a wānana i ke ala i hoʻohana ʻia i ke kope ʻana. Ma kekahiʻaoʻao, hiki ke hoʻoukaʻia, no ka laʻana, i ka manawa e hāʻawi ai nā lawelawe kapua i nā mea hana no ke kopeʻana i nā faila hoʻonohonoho i loko o kahi pahu, i kūkuluʻia me ke kauoha "docker cp".

ʻO ka pilikia ma muli o kahi hemahema o ka hoʻohana ʻana i ka hana FollowSymlinkInScope, e helu ana i ke ala pololei ma ka ʻōnaehana waihona nui e pili ana i ke ala pili, e noʻonoʻo ana i ke kau ʻana o ka ipu. ʻOiai e hoʻokō ana i ke kauoha "docker cp", kahi pōkole kūlana lāhui, kahi i hōʻoia ʻia ai ke ala, akā ʻaʻole i hana ʻia ka hana. Ma muli o ka hana ʻana o ke kope ʻana i loko o ka pōʻaiapili o ka ʻōnaehana faila nui o ka ʻōnaehana host, i loko o kahi manawa i ʻōlelo ʻia, hiki iā ʻoe ke hoʻokele e hoʻololi i ka loulou me kahi ala ʻē aʻe a hoʻomaka i ke kope ʻana i ka ʻikepili i kahi wahi kūʻokoʻa i ka ʻōnaehana faila ma waho o ka ipu.

No ka mea, ua kaupalena ʻia ka puka makani no kahi kūlana heihei i kahi mākaukau hoʻohana prototype I ka hana ʻana i nā hana kope mai kahi pahu, hiki ke hoʻokō i kahi hoʻouka kūleʻa ma lalo o 1% o nā hihia i ka wā e hoʻololi ai i kahi loulou hōʻailona ma ke ala i hoʻohana ʻia i ka hana kope (ua hoʻokō ʻia ka hoʻouka kūleʻa ma hope o 10 mau kekona o nā hoʻāʻo. e kope mau i ka faila ma ka loop me ke kauoha "docker cp").

Ma ka hana ʻana i kahi hana kope i loko o kahi pahu, hiki iā ʻoe ke hoʻokō i kahi hoʻouka hou ʻana o ka faila ma luna o ka ʻōnaehana hoʻokipa i nā manawa liʻiliʻi. ʻO ka hiki ke hoʻouka ʻia ma muli o ke kope ʻana i loko o kahi pahu, hoʻohana ʻia ka manaʻo "chrootarchive", e like me ke kaʻina archive.go e unuhi i ka waihona ʻaʻole i loko o ka chroot o ke kumu ipu, akā i loko o ka chroot o ka papa kuhikuhi makua o ke ala i manaʻo ʻia, mālama ʻia e ka mea hoʻouka, a ʻaʻole hoʻōki i ka hoʻokō ʻana o ka ipu (hoʻohana ʻia ka chroot i hōʻailona e hoʻohana i nā kūlana lāhui).

Source: opennet.ru

Pākuʻi i ka manaʻo hoʻopuka