CVE-2023-38496
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Apptainer to otwartoźródłowa platforma kontenerowa. W wersji 1.2.0-rc.2 wprowadzono nieskuteczne obniżenie uprawnień podczas żądania konfiguracji sieci kontenera, co pozwala na wykonywanie kolejnych funkcji z uprawnieniami roota.
Ocena ryzyka
Powierzchnia ataku jest ograniczona dla użytkowników, jednak atakujący może stworzyć skonfigurowany plik startowy, który umożliwi usunięcie dowolnego katalogu na systemach plików hosta.
Rekomendacja
Zaleca się aktualizację do wersji Apptainer 1.2.1, która zawiera poprawkę bezpieczeństwa. Nie ma znanych obejść poza tą aktualizacją.
Oryginalny opis (angielski, źródło NVD)
Apptainer is an open source container platform. Version 1.2.0-rc.2 introduced an ineffective privilege drop when requesting container network setup, therefore subsequent functions are called with root privileges, the attack surface is rather limited for users but an attacker could possibly craft a starter config to delete any directory on the host filesystems. A security fix has been included in Apptainer 1.2.1. There is no known workaround outside of upgrading to Apptainer 1.2.1.