CVE-2017-20198
Təsvir
DC/OS < 1.9.0 versiyasındakı Marathon UI autentifikasiya olunmamış istifadəçilərə ixtiyari Docker konteynerlərini yerləşdirməyə imkan verir. Volume mount konfiqurasiyalarının düzgün məhdud edilməməsi səbəbindən hücumçular host-un kök fayl sistemini (/) oxuma/yazma imtiyazları ilə bağlayan konteyner yerləşdirə bilərlər. Zərərli Docker obrazından istifadə etdikdə, hücumçu host-dakı /etc/cron.d/ qovluğuna yazı yazaraq root imtiyazları ilə ixtiyari kodun icrasını təmin edə bilər. Bu, Docker daemon-un Marathon konteyner konfiqurasiyalarını siyasət tətbiqi olmadan qəbul etdiyi hər hansı sistemə təsir göstərir.
Necə düzəltmək olar
- D2iQ, Inc. DC/OS Marathon1.9.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| D2iQ, Inc. DC/OS Marathon | v < 1.9.0 | 1.9.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.