CVE-2022-36109mediumCWE-863

CVE-2022-36109: falha de média gravidade em moby

Moby vulnerability relating to supplementary group permissions

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar moby+ Monitorar docker.io

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 1.1%
Em resumo

Docker Engine possui um bug onde grupos suplementares (permissões secundárias de usuários) não são configurados corretamente em contêineres. Um atacante com acesso ao contêiner poderia explorar isso para contornar controles de acesso baseados em grupos e acessar dados sensíveis ou executar código não autorizado.

Detalhe técnico

CVE-2022-36109 envolve a inicialização imprópria de grupos suplementares no Moby/Docker Engine ao usar a instrução USER no Dockerfile. Um atacante autenticado com acesso direto ao contêiner pode manipular a associação de grupos suplementares para contornar restrições de grupo primário, potencialmente escalando privilégios ou acessando recursos restritos. Corrigido na versão 20.10.18; contêineres existentes requerem reinicialização para aplicar as correções de permissão.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where supplementary groups are not set up properly. If an attacker has direct access to a container and manipulates their supplementary group access, they may be able to use supplementary group access to bypass primary group restrictions in some cases, potentially gaining access to sensitive information or gaining the ability to execute code in that container. This bug is fixed in Moby (Docker Engine) 20.10.18. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade, this problem can be worked around by not using the `"USER $USERNAME"` Dockerfile instruction. Instead by calling `ENTRYPOINT ["su", "-", "user"]` the supplementary groups will be set up properly.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Produtos afetados
moby · moby
CVEs relacionadas — moby

No mesmo produto, das mais perigosas para as menos.

CVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2026-34040HIGHMoby: AuthZ plugin bypass with oversized request bodyEPSS 9.3%CVE-2021-21285MEDIUMDocker daemon crash during image pull of malicious imageEPSS 3.3%CVE-2021-41091MEDIUMInsufficiently restricted permissions on data directory in Docker EngineEPSS 2.8%CVE-2023-28840HIGHmoby/moby's dockerd daemon encrypted overlay network may be unauthenticatedEPSS 2.6%CVE-2023-28842MEDIUMmoby/moby's dockerd daemon encrypted overlay network with a single endpoint is unauthenticatedEPSS 1.4%