脆弱性アラート:DockerエンジンとDockerデスクトップでの「ダーティパイプ」CVE-2022-0847の回避

先週リリースされた 新しいLinuxの脆弱性 について聞いたことがあるかもしれません, CVE-2022-0847, 別名「ダーティパイプ". この脆弱性により、Linux カーネルホスト内の読み取り専用と思われるファイルが上書きされ、攻撃者がコンテナインスタンスからホストイメージ内のファイルを変更する可能性があります。

Docker Engine をネイティブに使用している場合は、Linux OS を脆弱性にパッチを適用したバージョンに更新することをお勧めします。 Linux 5.16.11, 5.15.25, and 5.10.102. 

Docker Desktopを使用している方のために、最近、MacおよびWindows用の 独自のパッチをリリース しました。

• Mac 用 Docker デスクトップ – 最新リリースへのアップデート
• Docker Desktop for Windows – 最新リリースへのアップデート
  •  WSL2を有効にしている場合は、マイクロソフトからもカーネルを更新する必要があります。 

脆弱性自体の詳細については、 Max Kellerman のブログで詳細を説明し、 Rory McKuneのブログ で、この脆弱性がコンテナでどのように悪用されるかを示しています。