CVE-2022-36109mediumCWE-863

CVE-2022-36109: fallo de gravedad media en moby

Moby vulnerability relating to supplementary group permissions

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear moby+ Monitorear docker.io

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 1.1%
En resumen

Docker Engine tiene un bug donde los grupos suplementarios (permisos secundarios de usuarios) no se configuran correctamente en contenedores. Un atacante con acceso al contenedor podría explotar esto para eludir controles de acceso basados en grupos y acceder a datos sensibles o ejecutar código no autorizado.

Detalle técnico

CVE-2022-36109 implica la inicialización inadecuada de grupos suplementarios en Moby/Docker Engine al usar la instrucción USER en Dockerfile. Un atacante autenticado con acceso directo al contenedor puede manipular la asociación de grupos suplementarios para eludir restricciones de grupo primario, potencialmente escalando privilegios o accediendo a recursos restringidos. Se corrigió en la versión 20.10.18; los contenedores existentes requieren reinicio para aplicar las correcciones de permisos.

Resumen generado y traducido por IA a partir de la descripción oficial.
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where supplementary groups are not set up properly. If an attacker has direct access to a container and manipulates their supplementary group access, they may be able to use supplementary group access to bypass primary group restrictions in some cases, potentially gaining access to sensitive information or gaining the ability to execute code in that container. This bug is fixed in Moby (Docker Engine) 20.10.18. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade, this problem can be worked around by not using the `"USER $USERNAME"` Dockerfile instruction. Instead by calling `ENTRYPOINT ["su", "-", "user"]` the supplementary groups will be set up properly.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Productos afectados
moby · moby
CVEs relacionadas — moby

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2026-34040HIGHMoby: AuthZ plugin bypass with oversized request bodyEPSS 9.3%CVE-2021-21285MEDIUMDocker daemon crash during image pull of malicious imageEPSS 3.3%CVE-2021-41091MEDIUMInsufficiently restricted permissions on data directory in Docker EngineEPSS 2.8%CVE-2023-28840HIGHmoby/moby's dockerd daemon encrypted overlay network may be unauthenticatedEPSS 2.6%CVE-2023-28842MEDIUMmoby/moby's dockerd daemon encrypted overlay network with a single endpoint is unauthenticatedEPSS 1.4%