Podatności Apptainer

Apptainer przed wersją 1.5.1 zawiera podatność w funkcji Image.AuthorizedPath, która stosuje zwykłe dopasowanie prefiksu string do dyrektywy limit container paths w apptainer.conf, przez co dozwolona ścieżka, taka jak /data/safe, autoryzuje również ścieżkę siostrzaną, taką jak /data/safe-but-unsafe. Lokalny użytkownik może uruchomić kontener z katalogu spoza zamierzonej listy administratora, gdy Apptainer działa w trybie setuid.

Apptainer w wersjach poniżej 1.4.5 pozwala kontenerowi na wyłączenie dwóch form opcji --security, a mianowicie --security=apparmor:<profile> i --security=selinux:<label>, które normalnie nakładają ograniczenia na operacje wykonywane przez kontenery. Opcja --security jest przeznaczona dla użytkownika root, ale te formy działają również dla użytkowników bez uprawnień w systemach, gdzie odpowiednia funkcja jest włączona. Podatność została naprawiona w wersji 1.4.5.

Apptainer to otwartoźródłowa platforma kontenerowa. W wersji 1.2.0-rc.2 wprowadzono nieskuteczne obniżenie uprawnień podczas żądania konfiguracji sieci kontenera, co pozwala na wykonywanie kolejnych funkcji z uprawnieniami roota.