注目★★★★★Hacker News
Omarchy 4.0.1未満、全ユーザープロセスがroot化可能
30秒で把握
- 1Omarchy 4.0.1未満で標準ユーザーの全セッションがroot化可能
- 2Dockerソケット経由でホスト全体をroot権限で操作可能
- 34.0.1でdockerグループ設定を削除し脆弱な既定値を修正
要約
Omarchy 4.0.1未満では、標準ユーザーをLinuxのdockerグループに追加する設定により、ユーザーセッション内のほぼ全プロセスがパスワードやsudoなしでroot権限を取得できた。rootで動くDockerデーモンのソケットにアクセスし、ホストのファイルシステムをコンテナへマウントできるため、一般ユーザーのアプリ侵害がマシン全体の侵害に直結した。影響はOmarchy 3.8.4を含む4.0.1未満で、修正版4.0.1では標準設定からdockerグループが削除された。Dockerを使わないユーザーにも適用されるopt-out設定で、rootless構成ではなかった。
あなたへの影響
Omarchy 4.0.1未満を使う日本の開発者は、近日中に4.0.1以降へ更新し、不要なDocker利用やdockerグループ所属を確認してください。
推奨：root権限を避けてコンテナを動かす場合は、daemonlessなPodmanへの移行も選択肢になります。