Vulnerability hauv Docker uas tso cai rau koj khiav tawm ntawm lub thawv

Nyob rau hauv Toolkit rau Tswj Isolated Linux Docker Ntim txheeb xyuas yooj yim (CVE-2018-15664), uas, nyob rau hauv ib qho xwm txheej, tso cai rau koj nkag mus rau qhov chaw nyob ib puag ncig ntawm lub thawv yog tias koj muaj peev xwm tso koj cov duab ntawm lub kaw lus lossis nkag mus rau lub thawv khiav. Qhov teeb meem tshwm nyob rau hauv tag nrho cov versions ntawm Docker thiab tseem unfixed (thov, tab sis tseem tsis tau txais, thaj, uas siv qhov kev ncua ntawm lub thawv thaum ua haujlwm nrog FS).

Qhov tsis txaus ntseeg tso cai rau cov ntaub ntawv raug rho tawm los ntawm lub thawv rau qhov tsis txaus ntseeg ntawm tus tswv tsev cov ntaub ntawv kaw lus thaum ua tiav "docker cp" hais kom ua. Kev rho tawm cov ntaub ntawv yog ua nrog cov cai hauv paus, uas ua rau nws tuaj yeem nyeem lossis sau cov ntaub ntawv hauv ib puag ncig tus tswv, uas txaus kom tau txais kev tswj hwm ntawm tus tswv tsev (piv txwv li, koj tuaj yeem sau dua /etc/shadow).

Qhov kev tawm tsam tsuas yog ua tau thaum tus thawj tswj hwm ua qhov "docker cp" hais kom luam cov ntaub ntawv mus rau lossis los ntawm lub thawv. Yog li, tus neeg tawm tsam yuav tsum tau ua kom ntseeg siab rau Docker tus thawj coj ntawm qhov xav tau los ua qhov haujlwm no thiab kwv yees txoj hauv kev siv thaum luam tawm. Ntawm qhov tod tes, kev tawm tsam tuaj yeem ua tau, piv txwv li, thaum huab huab muab cov cuab yeej luam tawm cov ntaub ntawv teeb tsa rau hauv lub thawv, tsim siv "docker cp" hais kom ua.

Qhov teeb meem yog tshwm sim los ntawm qhov tsis zoo ntawm kev siv lub luag haujlwm Ua raws liSymlinkInScope, uas xam qhov tseeb txoj kev nyob rau hauv lub ntsiab cov ntaub ntawv system raws li cov txheeb ze txoj kev, noj mus rau hauv tus account qhov chaw ntawm lub thawv. Thaum ua tiav "docker cp" hais kom ua, lub sijhawm luv haiv neeg mob, nyob rau hauv uas txoj kev twb tau txheeb xyuas, tab sis kev ua haujlwm tseem tsis tau ua. Txij li thaum luam tau ua nyob rau hauv cov ntsiab lus ntawm cov ntaub ntawv tseem ceeb ntawm tus tswv system, nyob rau hauv ib lub sij hawm ntawm lub sij hawm, koj muaj peev xwm tswj kom hloov qhov txuas nrog rau lwm txoj kev thiab pib luam cov ntaub ntawv mus rau ib tug arbitrary qhov chaw nyob rau hauv cov ntaub ntawv system sab nraum lub thawv.

Txij li lub sijhawm lub qhov rais rau kev sib tw kis las tshwm sim yog qhov txwv tsis pub muaj nyob rau hauv kev npaj exploit prototype Thaum ua cov ntawv luam tawm los ntawm lub thawv, nws tuaj yeem ua tiav qhov kev ua tiav hauv tsawg dua 1% ntawm cov neeg mob thaum hloov pauv cov cim txuas hauv txoj hauv kev siv hauv kev ua haujlwm luam (qhov kev ua tiav tau ua tiav tom qab kwv yees li 10 vib nas this ntawm kev sim. kom tsis tu ncua luam cov ntaub ntawv hauv lub voj nrog "docker cp" hais kom ua).

Los ntawm kev ua ib daim ntawv luam rau hauv lub thawv, koj tuaj yeem ua tiav cov ntaub ntawv rov sau dua tawm tsam ntawm tus tswv tsev hauv ob peb qhov kev rov ua dua. Qhov muaj peev xwm ntawm kev tawm tsam yog vim qhov tseeb tias thaum luam tawm rau hauv lub thawv, "chrootarchive" lub tswv yim yog siv, raws li cov txheej txheem archive.go tshem tawm cov ntaub ntawv tsis mus rau hauv chroot ntawm lub thawv hauv paus, tab sis mus rau hauv chroot ntawm lub niam txiv cov npe ntawm lub hom phiaj txoj kev, tswj los ntawm tus neeg tawm tsam, thiab tsis tso tseg qhov kev tua ntawm lub thawv (chroot yog siv los ua ib qho kos npe rau kev siv haiv neeg).

Tau qhov twg los: opennet.ru