Wskazówki dotyczące luki w zabezpieczeniach CVE-2018-15664 dla usługi Azure IoT Edge
Data opublikowania: 23 lipca, 2019
Firma Microsoft skompilowała nową wersję środowiska uruchomieniowego kontenera Moby, v3.0.6, która zawiera aktualizację likwidującą zgłoszoną ostatnio lukę w zabezpieczeniach: CVE-2018-15664. Zalecamy zaktualizowanie środowiska uruchomieniowego kontenera na urządzeniu usługi IoT Edge, nawet jeśli nie wpływa ono na standardowe urządzenia usługi IoT Edge. Produkt nie używa polecenia „docker cp”, które stanowi punkt ataku, ale możliwe jest, że w scenariuszach zaawansowanych występują luki w zabezpieczeniach. Moduły utworzone z podwyższonymi uprawnieniami i zainstalowanym gniazdem platformy Docker są bardziej narażone na ryzyko.
Więcej informacji na temat tej luki w zabezpieczeniach można znaleźć tutaj.
Użyj odpowiednio poniższych instrukcji, aby zaktualizować rozwiązanie Moby.
Linux (oparty na rozwiązaniu Debian) X64 (deb):
- Wykonaj instrukcje, aby zarejestrować się w kanale informacyjnym repozytorium oprogramowania i kluczy firmy Microsoft.
- sudo apt-get update
- sudo apt-get install moby-engine
Linux (oparty na rozwiązaniu CentOS) X64 (rpm):
- curl -L https://aka.ms/moby-engine-x86_64-rpm-latest -o moby-engine-3.0.6-centos.x86_64.rpm
- sudo yum install -y ./moby-engine-3.0.6-centos.x86_64.rpm
Linux (oparty na rozwiązaniu Debian) ARM32 (na przykład Raspberry Pi):
- curl -L https://aka.ms/moby-engine-armhf-latest -o moby-engine_3.0.6_armhf.deb
- sudo dpkg -i ./moby-engine_3.0.6_armhf.deb
Zaktualizuj aparat platformy Docker (wersja 18.09.7 lub nowsza), jeśli testujesz lub programujesz z wykorzystaniem platformy Docker zamiast wbudowanego aparatu Moby firmy Microsoft.
Nie ma to wpływu na system Windows.