Una vulnerabilidad crítica en los entornos aislados de Docker permite que código malicioso de un sistema invitado lea y modifique archivos del sistema anfitrión macOS

Una vul­ne­ra­bi­li­dad crí­ti­ca iden­ti­fi­ca­da en Doc­ker Sand­bo­xes per­mi­te que có­di­go ma­li­cio­so alo­ja­do en una má­qui­na vir­tual de macOS logre salir del di­rec­to­rio com­par­ti­do y tenga la ca­pa­ci­dad de leer o mo­di­fi­car cual­quier ar­chi­vo en el sis­te­ma an­fi­trión. Este fallo de se­gu­ri­dad opera con los pri­vi­le­gios de la cuen­ta del host que eje­cu­ta la má­qui­na vir­tual y surge a tra­vés del ser­vi­dor host de vir­tio-fs, el cual se­guía en­la­ces sim­bó­li­cos al re­abrir un ar­chi­vo eli­mi­na­do desde una ruta al­ma­ce­na­da. El pro­ble­ma afec­ta a de­ter­mi­na­das ver­sio­nes an­te­rio­res y ya fue so­lu­cio­na­do, sin que se hayan re­por­ta­do ex­plo­ta­cio­nes en la prác­ti­ca ni re­gis­tros en el ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das de la CISA.

Adi­cio­nal­men­te, se co­rri­gió una se­gun­da vul­ne­ra­bi­li­dad de gra­ve­dad alta en el com­po­nen­te de re­trans­mi­sión que co­nec­ta la zona de prue­bas con soc­kets de do­mi­nio Unix den­tro del es­pa­cio de tra­ba­jo au­to­ri­za­do. Esta falla per­mi­tía que un in­vi­ta­do sus­ti­tu­ye­ra una ruta por un en­la­ce sim­bó­li­co para for­zar al an­fi­trión a co­nec­tar­se a soc­kets ex­ter­nos, ex­po­nien­do así datos o fun­cio­nes del host. Para mi­ti­gar ambos pro­ble­mas en caso de no poder ac­tua­li­zar, se re­co­mien­da em­plear el modo de clo­na­ción y evi­tar el uso de mon­ta­jes de host con per­mi­sos de lec­tu­ra y es­cri­tu­ra.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las in­ves­ti­ga­cio­nes o im­pli­ca­cio­nes adi­cio­na­les de estas vul­ne­ra­bi­li­da­des.