Hulp bij CVE-2018-15664 voor Azure IoT Edge

Gepost op woensdag 24 juli 2019

Microsoft heeft een nieuwe versie van de Moby-containerruntime (v3.0.6) ontwikkeld die een update bevat waarmee een onlangs gemeld beveiligingsprobleem, CVE-2018-15664, wordt verholpen. U wordt aangeraden de containerruntime op uw IoT Edge-apparaat bij te werken, ook al heeft deze geen invloed op standaard-IoT Edge-apparaten. Het product maakt geen gebruik van de opdracht 'docker cp' (het aanvalspunt), maar het is mogelijk dat geavanceerde scenario's kwetsbaar zijn. Modules die zijn gemaakt met verhoogde bevoegdheden en een gekoppelde Docker-socket vormen een hoog risico.

U vindt hier meer informatie over dit beveiligingsprobleem.

 

Gebruik de volgende instructies, indien van toepassing, om Moby bij te werken.

Linux Debian X64 (.deb):

  1. Volg de instructies om te registreren bij de Microsoft-sleutel en de feed voor de softwareopslagplaats.
  2. sudo apt-get update
  3. sudo apt-get install moby-engine

Linux CentOS X64 (.rpm):

  1. curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.6-centos.x86_64.rpm
  2. sudo yum install -y ./moby-engine-3.0.6-centos.x86_64.rpm

Linux Debian ARM32 (bijvoorbeeld Raspberry Pi):

  1. curl -L https://aka.ms/moby-engine-armhf-latest -o moby-engine_3.0.6_armhf.deb
  2. sudo dpkg -i ./moby-engine_3.0.6_armhf.deb

Als u test of ontwikkelt met Docker in plaats van met de door Microsoft ontwikkelde Moby-engine, moet u de Docker-engine (18.09.7 of recenter) bijwerken.

Dit heeft geen gevolgen voor Windows.

  • Azure IoT Edge
  • Security