CVE-2022-24778

La biblioteca imgcrypt proporciona extensiones de la API para que containerd admita imágenes de contenedor cifradas e implementa la herramienta de línea de comandos ctd-decoder para que containerd la use para descifrar imágenes de contenedor cifradas. La función imgcrypt "CheckAuthorization" es supuesto que comprueba si el usuario actual está autorizado a acceder a una imagen encriptada y evita que el usuario ejecute una imagen que otro usuario haya desencriptado previamente en el mismo sistema. En versiones anteriores a 1.1.4, es producido un fallo cuando es usada una imagen con una ManifestList y la arquitectura del host local no es la primera de la ManifestList. Sólo es comprobada la primera arquitectura de la lista, que podía no presentar sus capas disponibles localmente al no poder ejecutarse en la arquitectura del host. Por lo tanto, el veredicto sobre las capas no disponibles fue que la imagen podía ser ejecutada anticipando que el fallo de ejecución de la imagen ocurriría más tarde debido a que las capas no estaban disponibles. Sin embargo, este veredicto de permitir la ejecución de la imagen permitía a otras arquitecturas de la ManifestList ejecutar una imagen sin proporcionar claves si esa imagen había sido descifrada previamente. Ha sido aplicado un parche a imgcrypt versión 1.1.4. Las mitigaciones pueden incluir el uso de diferentes espacios de nombres para cada usuario remoto

A flaw was found in the imgcrypt library when checking the keys of an authorized user to access an encrypted image on systems where layers are not available and cannot run on the host architecture. This flaw allows an attacker to run an image without providing the previously decrypted keys.