Debians sikkerhedsbulletin

DLA-442-1 lxc -- LTS-sikkerhedsopdatering

Rapporteret den:
29. feb 2016
Berørte pakker:
lxc
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2013-6441, CVE-2015-1335.
Yderligere oplysninger:
  • CVE-2013-6441

    Skabelonskriptet lxc-sshd, som anvendes til at mounte sig selv /sbin/init i containeren ved hjælp af en skrivbar bind-mount.

    Denne opdatering løser ovennævnte problem ved i stedet at anvende en kan læsbar bind-mount, hvilket forhindrer enhver form for potentiel utilsigtet beskadigelse.

  • CVE-2015-1335

    Ved containerstart opsætter lxc containerens indlende filsystemstræ, ved at foretage et antal mounts, vejledt af containerens opsætningsfil.

    Containerens opsætningsfil ejes af administratoren eller brugeren på værten, så der gøres ikke forsøg på at sikre sig mod fejlbehæftede forekomster. Men da mountmålet dog er i containeren, er det muligt at containeradministratoren kan have viderestillet mount'en med symbolske links. Det kunne omgå korrekt containerstart (dvs. indespærring af en rootejet container med den restriktive apparmor-policy, ved at viderestille den krævede skrivning til /proc/self/attr/current), eller omgå (den stibaserede) apparmor-policy ved at viderestille eksempelvis /proc til /mnt i containeren.

    Opdateringen implementerer en safe_mount()-funktion, som forhindrer lxc i at foretage mounts på symbolske links.