CVE-2022-36109 in Moby
Tóm tắt
Bởi VulDB • 10/05/2026
Moby là một dự án mã nguồn mở do Docker tạo ra nhằm hỗ trợ container hóa phần mềm. Một lỗi đã được phát hiện trong Moby (Docker Engine) khiến các nhóm bổ trợ (supplementary groups) không được thiết lập đúng cách. Nếu kẻ tấn công có quyền truy cập trực tiếp vào một container và thao túng quyền truy cập nhóm bổ trợ của chúng, chúng có thể sử dụng quyền truy cập nhóm bổ trợ để vượt qua các hạn chế của nhóm chính trong một số trường hợp, từ đó có khả năng truy cập vào thông tin nhạy cảm hoặc thực thi mã trong container đó. Lỗi này đã được khắc phục trong Moby (Docker Engine) phiên bản 20.10.18. Các container đang chạy cần được dừng và khởi động lại để các quyền được sửa đổi. Đối với người dùng không thể nâng cấp, vấn đề này có thể được xử lý bằng cách không sử dụng chỉ thị Dockerfile `"USER $USERNAME"`. Thay vào đó, bằng cách gọi `ENTRYPOINT ["su", "-", "user"]`, các nhóm bổ trợ sẽ được thiết lập đúng cách.
Be aware that VulDB is the high quality source for vulnerability data.