Rettelse til CVE-2019-5736 for Azure IoT Edge

Opdateret: 01 marts, 2019

For nylig blev der gjort opmærksom på en sikkerhedsrisiko (CVE-2019-5736) i runC, dvs. den objektbeholderkørsel på lavt niveau, som understøtter Docker og tilknyttede objektbeholderprogrammer. Sikkerhedsrisikoen gør det muligt for en skadelig objektbeholder at eskalere rettigheder på værtsmaskinen, når en bruger kører kommandoen exec for at udføre en handling på en aktiv instans af den pågældende objektbeholder.

Microsoft har bygget en ny version af Moby-objektbeholderkørslen (v3.0.4), som inkluderer opdateringen Open Container Initiative for at tage hånd om denne sikkerhedsrisiko. Vi anbefaler på det kraftigste, at du opdaterer objektbeholderkørslen på din IoT Edge-enhed ved hjælp af følgende instruktioner efter behov:

Linux Debian-baseret X64 (.deb):

  1. Følg instruktionerne for at registrere dig til Microsofts nøgle- og softwarelagerfeed.
  2. sudo apt-get update
  3. sudo apt-get install moby-engine

Linux CentOS-baseret X64 (.rpm):

  1. curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.4-centos.x86_64.rpm
  2. sudo yum install -y ./moby-engine-3.0.4-centos.x86_64.rpm

Linux Debian-baseret ARM32 (f.eks. Raspberry Pi):

  1. curl -L https://aka.ms/moby-engine-armhf-latest -o moby_engine.deb
  2. sudo dpkg -i ./moby_engine.deb

Opdater Docker Engine (18.09.2 eller nyere), hvis du tester eller udvikler vha. Docker i stedet for det Microsoft-byggede moby-engine.

Windows-objektbeholdere på Windows er ikke berørt. 

  • Azure IoT Edge
  • Security

Related Products