Ihe ọghọm dị na Docker na-enye gị ohere ịgbanarị akpa ahụ

N'ime ngwa ọrụ maka ijikwa arịa Linux Docker dịpụrụ adịpụ mara adịghị ike (CVE-2018-15664), nke, n'okpuru ọnọdụ ụfọdụ, na-enye gị ohere ịnweta ebe obibi ndị ọbịa site na akpa ma ọ bụrụ na ị nwere ike ịmalite ihe oyiyi gị na usoro ma ọ bụ na ịnweta akpa na-agba ọsọ. Nsogbu a na-apụta na ụdị Docker niile ma ka na-edobeghi ya (atụpụtara, mana anabatabeghị ya, kwachie, nke na-arụ ọrụ nkwụsị nke akpa mgbe ọ na-arụ ọrụ na FS).

Ọdịmma ahụ na-enye ohere ka ewepụtara faịlụ site na akpa gaa na akụkụ aka ike nke sistemụ faịlụ ndị ọbịa mgbe ị na-eme iwu “docker cp”. A na-eme mmịpụta faịlụ site na ikike mgbọrọgwụ, nke na-eme ka enwere ike ịgụ ma ọ bụ dee faịlụ ọ bụla na gburugburu ebe obibi, nke zuru ezu iji nweta njikwa nke usoro nnabata (dịka ọmụmaatụ, ị nwere ike degharịa /etc/shadow).

Enwere ike ịme mwakpo ahụ naanị mgbe onye nchịkwa mezuru iwu "docker cp" iji detuo faịlụ na ma ọ bụ site na akpa. Ya mere, onye na-awakpo kwesịrị ime ka onye nchịkwa Docker kwenye mkpa ọ dị ịrụ ọrụ a ma buru amụma ụzọ eji eme ihe mgbe ọ na-edegharị. N'aka nke ọzọ, enwere ike ibuso ọgụ, dịka ọmụmaatụ, mgbe ọrụ igwe ojii na-enye ngwaọrụ maka iṅomi faịlụ nhazi n'ime akpa, wuru site na iji iwu "docker cp".

A na-akpata nsogbu ahụ site na ntụpọ na ntinye nke ọrụ ahụ SoroSymlinkInScope, nke na-agbakọ ụzọ zuru oke na usoro faịlụ bụ isi dabere na ụzọ njikọ, na-eburu n'uche ntinye nke akpa ahụ. Ka ị na-eme iwu "docker cp", obere oge ọnọdụ agbụrụ, nke ekwenyelarị ụzọ ahụ, mana arụbeghị ọrụ ahụ. Ebe ọ bụ na a na-eme nnomi ahụ n'ọnọdụ nke usoro faịlụ isi nke sistemụ nnabata n'ime oge a kapịrị ọnụ, ị nwere ike ijikwa dochie njikọ ahụ na ụzọ ọzọ wee malite iṅomi data na ọnọdụ aka ike na sistemụ faịlụ n'èzí. akpa.

Ebe ọ bụ na windo oge maka ọnọdụ agbụrụ ga-eme bụ oke oke na njikere erigbu prototype Mgbe ị na-arụ ọrụ nnomi site na akpa, ọ ga-ekwe omume nweta mwakpo na-aga nke ọma n'ihe na-erughị 1% nke ikpe mgbe ejiri cyclically dochie njikọ ihe atụ n'okporo ụzọ eji arụ ọrụ nnomi (mwakpo ahụ gara nke ọma ka emere ihe dị ka sekọnd 10 nke mgbalị. iji na-edegharị faịlụ ahụ n'ihu n'ihu na akaghị ya na iwu "docker cp").

Site n'ịrụ ọrụ nnomi n'ime akpa, ị nwere ike nweta mwakpo a na-emegharị ugboro ugboro na sistemụ nnabata n'ime ntakịrị ugboro ole na ole. Enwere ike ịwakpo ya n'ihi na mgbe ị na-edegharị n'ime akpa, a na-eji echiche "chrootarchive" mee ihe, dịka usoro archive.go si kwuo, ọ bụghị n'ime chroot nke mgbọrọgwụ akpa ahụ, kama n'ime chroot nke mgbọrọgwụ. akwụkwọ ndekọ aha nne na nna nke ụzọ ebumnuche, nke onye na-awakpo na-achịkwa, na anaghị akwụsị ogbugbu nke akpa (a na-eji chroot dị ka ihe ịrịba ama na-erigbu ọnọdụ agbụrụ).

isi: opennet.ru