CVE-2024-1753

概要

Buildah および Podman の コンテナ ビルド 処理 に、ホスト ファイルシステム への 不正 アクセス を 可能 に する コンテナ エスケープ の 脆弱性 が 存在 します。悪意 の ある Containerfile（Dockerfile）が シンボリック リンク を 利用 して、RUN ステップ の 実行 中 に ホスト の ルート ファイルシステム を コンテナ 内 に マウント する こと が 可能 です。

これ により、ビルド 時 に ホスト ファイルシステム に 対する 読み書き アクセス が 得られます。CI/CD パイプライン で 信頼 できない Containerfile を ビルド する 環境 や、マルチテナント の ビルド サービス で は 特に 影響 が 大きく なります。Red Hat は 複数 の Errata（RHSA-2024:2049 等）で 修正 を 提供 しています。コンテナ ビルド 環境 を 運用 している 場合 は、パッチ の 適用 を 推奨 します。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: Red Hat Errata RHSA-2024:2049 等 の パッチ を 適用 して ください。各 ディストリビューション の パッケージ マネージャ から 最新版 を 取得 できます
• 回避策: 信頼 できない ソース の Containerfile を ビルド しない。--cap-drop=ALL 等 で ビルド コンテナ の 権限 を 最小化 する
• 補足: rootless モード の Podman を 使用 する こと で 影響 を 軽減 できます

関連リンク

• NVD
• Red Hat RHSA-2024:2049

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。