CVE-2024-24557
Açıklama
Moby, yazılım konteynerleştirmeyi sağlamak için Docker tarafından oluşturulmuş açık kaynaklı bir projedir. Klasik derleyici önbellek sistemi, imaj FROM scratch ile oluşturulduğunda önbellek zehirlemesine (cache poisoning) karşı savunmasızdır. Ayrıca, bazı talimatlardaki değişiklikler (en önemlileri HEALTHCHECK ve ONBUILD), önbellek kaçırmasına (cache miss) neden olmaz. Birinin kullandığı Dockerfile bilgisine sahip olan bir saldırgan, belirli derleme adımları için geçerli bir önbellek adayı olarak kabul edilecek özel olarak hazırlanmış bir imajı çektirmelerini sağlayarak önbelleklerini zehirleyebilir. 23.0+ kullanıcıları, yalnızca Buildkit'ten açıkça ayrıldılarsa (DOCKER_BUILDKIT=0 ortam değişkeni) veya /build API uç noktasını kullanıyorlarsa etkilenir. 23.0'dan eski sürümlerdeki tüm kullanıcılar etkilenebilir. İmaj derleme API uç noktası (/build) ve github.com/docker/docker/client içerisindeki ImageBuild fonksiyonu da varsayılan olarak klasik derleyiciyi kullandığı için etkilenmektedir. Yamalar 24.0.9 ve 25.0.2 sürümlerine dahil edilmiştir.
Nasıl düzeltilir
- mobyproject moby24.0.9, 25.0.2 ya da sonraki bir sürüm
- github.com/docker/docker24.0.9, 25.0.2, 24.0.9+incompatible, 25.0.2+incompatible ya da sonraki bir sürüm
- github.com/moby/moby24.0.9, 25.0.2, 24.0.9+incompatible, 25.0.2+incompatible ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mobyproject moby | v < 24.0.9, 25.0.0 ≤ v < 25.0.2 | 24.0.9, 25.0.2 |
| github.com/docker/dockerGo | v < 24.0.9, 25.0.0 ≤ v < 25.0.2, v < 24.0.9+incompatible, 25.0.0+incompatible ≤ v < 25.0.2+incompatible | 24.0.9, 25.0.2, 24.0.9+incompatible, 25.0.2+incompatible |
| github.com/moby/mobyGo | v < 24.0.9, 25.0.0 ≤ v < 25.0.2, v < 24.0.9+incompatible, 25.0.0+incompatible ≤ v < 25.0.2+incompatible | 24.0.9, 25.0.2, 24.0.9+incompatible, 25.0.2+incompatible |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.