Moby - это контейнерная система с открытым исходным кодом. В версиях до 29.5.1 и в moby/moby v2 до v2.0.0-beta.14, когда сжатый архив загру…

Moby - это контейнерная система с открытым исходным кодом. В версиях до 29.5.1 и в moby/moby v2 до v2.0.0-beta.14, когда сжатый архив загружается в контейнер через `PUT /containers/{id}/archive` или проходит через `docker cp -`, демоно разрешает декомпрессионные дюймы (например, `xz` или `unpigz`) из файловой системы контейнера, а не хоста из-за неправильного заказа. Вредоносное изображение контейнера, содержащее троянизированную декомпрессионную бинарность, может достигать произвольного исполнения кода с полными привилегиями демонов, включая UID-угол хозяина и неограниченные возможности, когда пользователь загружает в этот контейнер сжатый архив (xz или gzip). Эта проблема исправлена в Docker Engine 29.5.1 и moby/moby v2.0.0-beta.14. Обходные пути включают в себя только запуск контейнеров из доверенных изображений, использование плагинов авторизации для ограничения доступа к конечной точке `PUT /containers/{id}/archive` и избегание трубопроводов сжатых архивов в контейнеры, созданные из недоверенных изображений.