CVE-2024-41110
Təsvir
Moby, proqram təminatının konteynerləşdirilməsi üçün Docker tərəfindən yaradılmış açıq mənbəli layihədir. Docker Engine-in müəyyən versiyalarında, hücumçunun xüsusi şəraitdə avtorizasiya plaginlərini (AuthZ) yan keçməsinə imkan verə bilən təhlükəsizlik boşluğu aşkar edilmişdir. Bunun istismar edilmə ehtimalı aşağıdır. Xüsusi hazırlanmış API sorğusundan istifadə edərək, Engine API kliyenti demonu sorğunu və ya cavabı gövdəsi olmadan avtorizasiya plaginə yönləndirməyə məcbur edə bilər. Müəyyən hallarda, avtorizasiya plagini, gövdə ona ötürülmüş olsaydı rədd edəcəyi bir sorğuya icazə verə bilər. 2018-ci ildə hücumçunun xüsusi hazırlanmış API sorğusu vasitəsilə AuthZ plaginlərini yan keçə bildiyi bir təhlükəsizlik problemi aşkar edilmişdir. Bu, imtiyazların yüksəldilməsi də daxil olmaqla, icazəsiz hərəkətlərə səbəb ola bilər. Baxmayaraq ki, bu problem 2019-cu ilin yanvar ayında Docker Engine v18.09.1 versiyasında düzəldilmişdi, həll yolu sonrakı əsas versiyalara tətbiq edilməmişdir və bu da reqressiyaya səbəb olmuşdur. Girişə nəzarət qərarlarını vermək üçün sorğu və/və ya cavab gövdəsini analiz edən avtorizasiya plaginlərindən asılı olan hər kəs potensial risk altındadır. Docker EE v19.03.x və Mirantis Container Runtime-ın bütün versiyaları bu boşluğa qarşı həssas deyil. docker-ce v27.1.1 versiyası boşluğu aradan qaldırmaq üçün yamalar ehtiva edir. Yamalar həmçinin master, 19.03, 20.0, 23.0, 24.0, 25.0, 26.0 və 26.1 buraxılış budaqlarına birləşdirilib. Təkmilləşdirməni dərhal etmək mümkün deyilsə, minimum imtiyaz prinsipinə uyğun olaraq AuthZ plaginlərindən istifade etməkdən çəkinin və/və ya Docker API-na girişi yalnız etibarlı tərəflərlə məhdudlaşdırın.
Necə düzəltmək olar
- github.com/docker/docker23.0.15, 26.1.5, 27.1.1, 25.0.6, 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible və ya daha yeni versiya
- github.com/moby/moby25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/docker/dockerGo | 19.03.0 ≤ v < 23.0.15, 26.0.0 ≤ v < 26.1.5, 27.0.0 ≤ v < 27.1.1, 24.0.0 ≤ v < 25.0.6, 20.10.0+incompatible ≤ v < 25.0.6+incompatible, 26.0.0+incompatible ≤ v < 26.1.5+incompatible, 27.0.0+incompatible ≤ v < 27.1.1+incompatible | 23.0.15, 26.1.5, 27.1.1, 25.0.6, 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible |
| github.com/moby/mobyGo | 20.10.0+incompatible ≤ v < 25.0.6+incompatible, 26.0.0+incompatible ≤ v < 26.1.5+incompatible, 27.0.0+incompatible ≤ v < 27.1.1+incompatible | 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.