一、 漏洞 CVE-2021-41091 基础信息
漏洞信息
                                        # Docker Engine 中数据目录的权限限制不够严格

N/A
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
Insufficiently restricted permissions on data directory in Docker Engine
来源：美国国家漏洞数据库 NVD
漏洞描述信息
Moby is an open-source project created by Docker to enable software containerization. A bug was found in Moby (Docker Engine) where the data directory (typically `/var/lib/docker`) contained subdirectories with insufficiently restricted permissions, allowing otherwise unprivileged Linux users to traverse directory contents and execute programs. When containers included executable programs with extended permission bits (such as `setuid`), unprivileged Linux users could discover and execute those programs. When the UID of an unprivileged Linux user on the host collided with the file owner or group inside a container, the unprivileged Linux user on the host could discover, read, and modify those files. This bug has been fixed in Moby (Docker Engine) 20.10.9. Users should update to this version as soon as possible. Running containers should be stopped and restarted for the permissions to be fixed. For users unable to upgrade limit access to the host to trusted users. Limit access to host volumes to trusted containers.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L
来源：美国国家漏洞数据库 NVD
漏洞类别
权限预留不恰当
来源：美国国家漏洞数据库 NVD
漏洞标题
Moby 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
Moby是一个开源项目，旨在推动软件的容器化，并帮助生态系统使容器技术主流化。 Moby 存在安全漏洞，该漏洞源于在Moby (Docker Engine)中发现了一个bug，数据目录(通常是var lib Docker )包含的子目录权限没有受到足够的限制，允许没有特权的Linux用户遍历目录内容和执行程序。攻击者可利用该漏洞当容器包含具有扩展权限位(如setuid )的可执行程序时，没有特权的Linux用户可以发现并执行这些程序。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2021-41091 的公开POC
# POC 描述 源链接 神龙链接
1 POC for CVE-2021-41091 https://github.com/UncleJ4ck/CVE-2021-41091 POC详情
2 None https://github.com/jrbH4CK/CVE-2021-41091 POC详情
3 This exploit offers an in-depth look at the CVE-2021-41091 security vulnerability and provides a step-by-step guide on how to utilize the exploit script to achieve privilege escalation on a host. https://github.com/SNE-M23-SN/Vulnerable-Docker-Engine POC详情
三、漏洞 CVE-2021-41091 的情报信息
四、漏洞 CVE-2021-41091 的评论

暂无评论

发表评论