CVE-2023-38496
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Apptainer to otwartoźródłowa platforma kontenerowa. W wersji 1.2.0-rc.2 wprowadzono nieskuteczne obniżenie uprawnień podczas żądania konfiguracji sieci kontenera, co pozwala na wykonywanie kolejnych funkcji z uprawnieniami roota.
Ocena ryzyka
Powierzchnia ataku jest ograniczona dla użytkowników, jednak atakujący może stworzyć skonfigurowany plik startowy, który umożliwi usunięcie dowolnego katalogu na systemach plików hosta.
Rekomendacja
Zaleca się aktualizację do wersji Apptainer 1.2.1, która zawiera poprawkę bezpieczeństwa. Nie ma znanych obejść poza tą aktualizacją.
Inne podatności w Apptainer
Zobacz wszystkie- CVE-2026-48785Średnie
Apptainer przed wersją 1.5.1 zawiera podatność w funkcji Image.AuthorizedPath, która stosuje zwykłe dopasowanie prefiksu string do dyrektywy limit container paths w apptainer.conf, przez co dozwolona ścieżka, taka jak /data/safe, autoryzuje również ścieżkę siostrzaną, taką jak /data/safe-but-unsafe. Lokalny użytkownik może uruchomić kontener z katalogu spoza zamierzonej listy administratora, gdy Apptainer działa w trybie setuid.
- CVE-2025-65105Średnie
Apptainer w wersjach poniżej 1.4.5 pozwala kontenerowi na wyłączenie dwóch form opcji --security, a mianowicie --security=apparmor:<profile> i --security=selinux:<label>, które normalnie nakładają ograniczenia na operacje wykonywane przez kontenery. Opcja --security jest przeznaczona dla użytkownika root, ale te formy działają również dla użytkowników bez uprawnień w systemach, gdzie odpowiednia funkcja jest włączona. Podatność została naprawiona w wersji 1.4.5.
- CVE-2023-30549Wysokie
Apptainer to platforma kontenerowa dla Linuksa. Podatność use-after-free w ext4 może być wykorzystana przez wersje Apptainer < 1.1.0 oraz instalacje z apptainer-suid < 1.1.8 na starszych systemach, gdzie ta luka nie została załatana, w tym RHEL 7, Debian 10 buster, Ubuntu 18.04 i 20.04. Luka może służyć do ataku na jądro w celu odmowy usługi lub eskalacji uprawnień.
Oryginalny opis (angielski, źródło NVD)
Apptainer is an open source container platform. Version 1.2.0-rc.2 introduced an ineffective privilege drop when requesting container network setup, therefore subsequent functions are called with root privileges, the attack surface is rather limited for users but an attacker could possibly craft a starter config to delete any directory on the host filesystems. A security fix has been included in Apptainer 1.2.1. There is no known workaround outside of upgrading to Apptainer 1.2.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS