Veiledning på CVE-2018-15664 for Azure IoT Edge

Microsoft har bygget en ny versjon av Moby-beholderens kjøretid, v3.0.6, som inkluderer en oppdatering som utbedrer et nylig rapportert sikkerhetsproblem, CVE-2018-15664. Vi anbefaler at du oppdaterer kjøringstiden for beholderen på IoT Edge-enheten selv om den ikke påvirker standard IoT Edge-enheter. Produktet bruker ikke kommandoen «docker cp» som er angrepsmålet. Det er likevel mulig at avanserte scenarioer er sårbare. Moduler som er opprettet med hevede tillatelser og påmontert docker-socket, har større risiko.

Du kan finne mer informasjon om dette sikkerhetsproblemet her.

 

Bruk følgende instruksjoner, der de gjelder, til å oppdatere Moby.

Linux Debian-basert X64 (.deb):

1. Følg instruksjonene for å registrere hos Microsoft-repositoriumsfeed for nøkkel og programvare.
2. sudo apt-get update
3. sudo apt-get install moby-engine

Linux CentOS-basert X64 (.rpm):

1. curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.6-centos.x86_64.rpm
2. sudo yum install -y ./moby-engine-3.0.6-centos.x86_64.rpm

Linux Debian-basert ARM32 (for eksempel Raspberry Pi):

1. curl -L https://aka.ms/moby-engine-armhf-latest -o moby-engine_3.0.6_armhf.deb
2. sudo dpkg -i ./moby-engine_3.0.6_armhf.deb

Oppdater Docker Engine (18.09.7 eller nyere) hvis du tester eller utvikler med Docker i stedet for den Microsoft-bygde moby-motoren.

Windows påvirkes ikke.