Veiledning på CVE-2018-15664 for Azure IoT Edge
Publiseringsdato: 23 juli, 2019
Microsoft har bygget en ny versjon av Moby-beholderens kjøretid, v3.0.6, som inkluderer en oppdatering som utbedrer et nylig rapportert sikkerhetsproblem, CVE-2018-15664. Vi anbefaler at du oppdaterer kjøringstiden for beholderen på IoT Edge-enheten selv om den ikke påvirker standard IoT Edge-enheter. Produktet bruker ikke kommandoen «docker cp» som er angrepsmålet. Det er likevel mulig at avanserte scenarioer er sårbare. Moduler som er opprettet med hevede tillatelser og påmontert docker-socket, har større risiko.
Du kan finne mer informasjon om dette sikkerhetsproblemet her.
Bruk følgende instruksjoner, der de gjelder, til å oppdatere Moby.
Linux Debian-basert X64 (.deb):
- Følg instruksjonene for å registrere hos Microsoft-repositoriumsfeed for nøkkel og programvare.
- sudo apt-get update
- sudo apt-get install moby-engine
Linux CentOS-basert X64 (.rpm):
- curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.6-centos.x86_64.rpm
- sudo yum install -y ./moby-engine-3.0.6-centos.x86_64.rpm
Linux Debian-basert ARM32 (for eksempel Raspberry Pi):
- curl -L https://aka.ms/moby-engine-armhf-latest -o moby-engine_3.0.6_armhf.deb
- sudo dpkg -i ./moby-engine_3.0.6_armhf.deb
Oppdater Docker Engine (18.09.7 eller nyere) hvis du tester eller utvikler med Docker i stedet for den Microsoft-bygde moby-motoren.
Windows påvirkes ikke.