Correctif CVE-2019-5736 pour Azure IoT Edge
Date de publication : 12 février, 2019
Récemment, une vulnérabilité de sécurité (CVE-2019-5736) a été annoncée dans runC, le runtime de conteneur de niveau inférieur qui prend en charge Docker et les moteurs de conteneur associés. Cette vulnérabilité permet à un conteneur malveillant d’élever des privilèges sur la machine hôte lorsqu’un utilisateur exécute la commande exec pour exécuter une opération dans une instance en cours d’exécution de ce conteneur.
Microsoft a créé une nouvelle version du runtime de conteneur Moby (v3.0.4) qui inclut la mise à jour OCI (Open Container Initiative) pour corriger cette vulnérabilité. Nous vous recommandons vivement de mettre à jour le runtime de conteneur sur votre appareil IoT Edge en suivant les instructions suivantes en fonction de votre situation :
Linux Debian x64 (.deb) :
- Suivez les instructions pour vous inscrire au flux du dépôt de logiciels et de clés de Microsoft.
- sudo apt-get update
- sudo apt-get install moby-engine
Linux CentOS x64 (.rpm) :
- curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.4-centos.x86_64.rpm
- sudo yum install -y ./moby-engine-3.0.4-centos.x86_64.rpm
Linux Debian ARM32 (par exemple Raspberry Pi) :
- curl -L https://aka.ms/moby-engine-armhf-latest -o moby_engine.deb
- sudo dpkg -i ./moby_engine.deb
Mettez à jour le moteur Docker (18.09.2 ou plus récent) si vous testez ou développez avec Docker au lieu du moteur moby créé par Microsoft.
Les conteneurs Windows sur Windows ne sont pas affectés.