Analityczne wykorzystywanie plików cookies
Krytyczna luka w Boxlite umożliwiająca zapis do katalogów tylko do odczytu
Krytyczna luka w Boxlite przed wersją 0.9.0 pozwala na nieautoryzowany zapis w katalogach tylko do odczytu. Zalecana jest szybka aktualizacja oprogramowania.
- CVSS
- 10.0 CRITICAL
- EPSS
- 20.67%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Boxlite, usługa sandbox umożliwiająca uruchamianie lekkich maszyn wirtualnych i kontenerów OCI, przed wersją 0.9.0 nie ograniczała uprawnień jądra w kontenerach. Złośliwy kod mógł dzięki temu zamontować katalog w trybie zapisu, uzyskując nieautoryzowany dostęp do zapisu w katalogach tylko do odczytu.
Wpływ biznesowy
Luka o krytycznym poziomie CVSS 10.0 pozwala na wykonanie nieautoryzowanych operacji zapisu w systemie plików, co może prowadzić do modyfikacji ważnych danych lub eskalacji uprawnień. Operatorzy środowisk wykorzystujących Boxlite powinni pilnie zweryfikować wersję oprogramowania i ocenić ryzyko związane z potencjalnym wykorzystaniem tej luki.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie Boxlite do wersji 0.9.0 lub nowszej, w której problem został załatany. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp do usług Boxlite, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić przegląd uprawnień i konfiguracji kontenerów, aby zminimalizować ryzyko wykorzystania luki.