Podman 信息暴露漏洞

admin

0
文章

0
评论

2023-11-30 13:53:59 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

中危 Podman 信息暴露漏洞

CVE编号

CVE-2021-4024

利用情况

暂无

补丁情况

官方补丁

披露时间

2021-12-24

漏洞描述

Podman是一款用于在Linux系统上开发、管理和运行OCI容器的引擎。 podman 存在访问控制错误漏洞，podman machine 函数（用于创建和管理包含 Podman 进程的 Podman 虚拟机）在主机系统上生成一个 gvproxy 进程。gvproxy API 可在主机上所有 IP 地址的端口 7777 上访问。如果该端口在主机的防火墙上打开，攻击者可能会使用 gvproxy API 将主机上的端口转发到 VM 中的端口，从而使网络可以访问 VM 上的私有服务。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：https://bugzilla.redhat.com/show_bug.cgi?id=2026675

参考链接
https://bugzilla.redhat.com/show_bug.cgi?id=2026675%2C
https://github.com/containers/podman/releases/tag/v3.4.3
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedora...

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	podman_project	podman	*	From (including) 3.3.0	Up to (excluding) 3.4.3
	运行在以下环境
	系统	alpine_3.15	podman	*		Up to (excluding) 3.4.4-r0
	运行在以下环境
	系统	alpine_3.16	podman	*		Up to (excluding) 3.4.4-r0
	运行在以下环境
	系统	alpine_3.17	podman	*		Up to (excluding) 3.4.4-r0
	运行在以下环境
	系统	alpine_3.18	podman	*		Up to (excluding) 3.4.4-r0
	运行在以下环境
	系统	alpine_edge	podman	*		Up to (excluding) 3.4.4-r0
	运行在以下环境
	系统	debian_11	libpod	*		Up to (excluding) 3.0.1+dfsg1-3+deb11u4
	运行在以下环境
	系统	debian_12	libpod	*		Up to (excluding) 3.4.3+ds1-1
	运行在以下环境
	系统	debian_sid	libpod	*		Up to (excluding) 3.4.3+ds1-1
	运行在以下环境
	系统	fedora_34	podman-remote	*		Up to (excluding) 3.4.4-1.fc34
	运行在以下环境
	系统	fedora_35	podman-docker	*		Up to (excluding) 3.4.4-1.fc35
	运行在以下环境
	系统	opensuse_5.2	podman-cni-config	*		Up to (excluding) 4.3.1-150300.9.15.1
	运行在以下环境
	系统	opensuse_5.3	podman-cni-config	*		Up to (excluding) 4.3.1-150400.4.11.1
	运行在以下环境
	系统	opensuse_Leap_15.3	libseccomp-tools	*		Up to (excluding) 20210626-150300.8.3.1
	运行在以下环境
	系统	opensuse_Leap_15.4	podman-cni-config	*		Up to (excluding) 4.3.1-150400.4.11.1
	运行在以下环境
	系统	oracle_9	oraclelinux-release	*		Up to (excluding) 4.2.0-3.0.1.el9
	运行在以下环境
	系统	redhat_9	podman-gvproxy-debuginfo	*		Up to (excluding) 4.2.0-3.el9