CVE-2021-41091mediumCWE-281

CVE-2021-41091: falha de média gravidade em moby

Insufficiently restricted permissions on data directory in Docker Engine

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar moby+ Monitorar docker.io

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.3epss 2.8%
Em resumo

O Docker Engine tinha permissões fracas no seu diretório de dados, permitindo que usuários comuns acessassem, executassem e modificassem arquivos pertencentes a contêineres. Isso poderia deixar usuários regulares executarem programas privilegiados ou acessar dados sensíveis de contêineres.

Detalhe técnico

O Moby (Docker Engine) não restringiu adequadamente permissões em subdiretórios de `/var/lib/docker`, permitindo que usuários locais não privilegiados percorressem diretórios, executassem binários setuid de contêineres ou lessem/modificassem arquivos em caso de colisão de UID/GID entre contextos de host e contêiner. A exploração requer acesso local ao host e depende de configurações de permissões de executáveis e mapeamento de UID em contêineres.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where the data directory (typically `/var/lib/docker`) contained subdirectories with insufficiently restricted permissions, allowing otherwise unprivileged Linux users to traverse directory contents and execute programs. When containers included executable programs with extended permission bits (such as `setuid`), unprivileged Linux users could discover and execute those programs. When the UID of an unprivileged Linux user on the host collided with the file owner or group inside a container, the unprivileged Linux user on the host could discover, read, and modify those files. This bug has been fixed in Moby (Docker Engine) 20.10.9. Users should update to this version as soon as possible. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade limit access to the host to trusted users. Limit access to host volumes to trusted containers.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L
Produtos afetados
moby · moby
CVEs relacionadas — moby

No mesmo produto, das mais perigosas para as menos.

CVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2026-34040HIGHMoby: AuthZ plugin bypass with oversized request bodyEPSS 9.3%CVE-2021-21285MEDIUMDocker daemon crash during image pull of malicious imageEPSS 3.3%CVE-2023-28840HIGHmoby/moby's dockerd daemon encrypted overlay network may be unauthenticatedEPSS 2.6%CVE-2023-28842MEDIUMmoby/moby's dockerd daemon encrypted overlay network with a single endpoint is unauthenticatedEPSS 1.4%CVE-2021-21284MEDIUMprivilege escalation in MobyEPSS 1.1%