CVE-2021-41091
Insufficiently restricted permissions on data directory in Docker Engine
Em resumo
O Docker Engine tinha permissões fracas no seu diretório de dados, permitindo que usuários comuns acessassem, executassem e modificassem arquivos pertencentes a contêineres. Isso poderia deixar usuários regulares executarem programas privilegiados ou acessar dados sensíveis de contêineres.
Detalhe técnico
O Moby (Docker Engine) não restringiu adequadamente permissões em subdiretórios de `/var/lib/docker`, permitindo que usuários locais não privilegiados percorressem diretórios, executassem binários setuid de contêineres ou lessem/modificassem arquivos em caso de colisão de UID/GID entre contextos de host e contêiner. A exploração requer acesso local ao host e depende de configurações de permissões de executáveis e mapeamento de UID em contêineres.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where the data directory (typically `/var/lib/docker`) contained subdirectories with insufficiently restricted permissions, allowing otherwise unprivileged Linux users to traverse directory contents and execute programs. When containers included executable programs with extended permission bits (such as `setuid`), unprivileged Linux users could discover and execute those programs. When the UID of an unprivileged Linux user on the host collided with the file owner or group inside a container, the unprivileged Linux user on the host could discover, read, and modify those files. This bug has been fixed in Moby (Docker Engine) 20.10.9. Users should update to this version as soon as possible. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade limit access to the host to trusted users. Limit access to host volumes to trusted containers.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L