CVE-2025-62725
Təsvir
Docker Compose uzaqdakı OCI compose artefaktlarında yerləşdirilmiş yol məlumatlarına etibar edir. Bir təbəqə com.docker.compose.extends və ya com.docker.compose.envfile annotasiyalarını daxil etdikdə, Compose hücumçunun təqdim etdiyi com.docker.compose.file/com.docker.compose.envfile dəyərini öz lokal keş kataloqu ilə birləşdirir və faylı orada yazır. Bu, uzaq OCI compose artefaktlarını həll edən hər hansı platformaya və ya iş axınına təsir edir; Docker Desktop, Linux-da müstəqil Compose binar faylları, CI/CD runner-ləri və bulud developer mühitləri bundan zərər görür. Hücumçu keş kataloqundan çıxa və docker compose işlədilən maşında istənilən faylların üzərinə yaza bilər, hətta istifadəçi yalnız docker compose config və ya docker compose ps kimi yalnız oxuma əmrlərini icra etsə belə. Bu problem v2.40.2 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/docker/compose/v22.40.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/docker/compose/v2Go | 2.34.0 ≤ v < 2.40.2, v < 2.40.2 | 2.40.2 |
| github.com/docker/composeGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.