CVE-2024-41110
Açıklama
Moby, yazılım konteynerleştirme için Docker tarafından oluşturulmuş açık kaynaklı bir projedir. Docker Engine'in belirli sürümlerinde, saldırganın belirli koşullar altında yetkilendirme eklentilerini (AuthZ) atlatmasına izin verebilecek bir güvenlik zafiyeti tespit edilmiştir. Bunun istismar edilme olasılığı düşüktür. Özel olarak hazırlanmış bir API isteği kullanarak, bir Engine API istemcisi, daemon'un isteği veya yanıtı gövdesi olmadan bir yetkilendirme eklentisine iletmesini sağlayabilir. Belirli durumlarda, yetkilendirme eklentisi, gövde kendisine iletilmiş olsaydı reddedeceği bir isteğe izin verebilir. 2018 yılında, bir saldırganın özel olarak hazırlanmış bir API isteği kullanarak AuthZ eklentilerini atlatabildiği bir güvenlik sorunu keşfedilmiştir. Bu durum, yetki yükseltme dahil olmak üzere yetkisiz işlemlere yol açabilir. Bu sorun Ocak 2019'da Docker Engine v18.09.1 sürümünde düzeltilmiş olsa da, düzeltme daha sonraki ana sürümlere aktarılmamış ve bu durum bir regresyona neden olmuştur. Erişim kontrol kararları vermek için istek ve/veya yanıt gövdesini inceleyen yetkilendirme eklentilerine güvenen herkes potansiyel olarak etkilenmektedir. Docker EE v19.03.x ve Mirantis Container Runtime'ın tüm sürümleri savunmasız değildir. docker-ce v27.1.1, zafiyeti gidermek için yamalar içermektedir. Yamalar ayrıca master, 19.03, 20.0, 23.0, 24.0, 25.0, 26.0 ve 26.1 yayın dallarına da eklenmiştir. Hemen yükseltme yapılamıyorsa, en az ayrıcalık ilkesine uygun olarak AuthZ eklentilerini kullanmaktan kaçınılmalı ve/veya Docker API'sine erişim güvenilir taraflarla sınırlandırılmalıdır.
Nasıl düzeltilir
- github.com/docker/docker23.0.15, 26.1.5, 27.1.1, 25.0.6, 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible ya da sonraki bir sürüm
- github.com/moby/moby25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/docker/dockerGo | 19.03.0 ≤ v < 23.0.15, 26.0.0 ≤ v < 26.1.5, 27.0.0 ≤ v < 27.1.1, 24.0.0 ≤ v < 25.0.6, 20.10.0+incompatible ≤ v < 25.0.6+incompatible, 26.0.0+incompatible ≤ v < 26.1.5+incompatible, 27.0.0+incompatible ≤ v < 27.1.1+incompatible | 23.0.15, 26.1.5, 27.1.1, 25.0.6, 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible |
| github.com/moby/mobyGo | 20.10.0+incompatible ≤ v < 25.0.6+incompatible, 26.0.0+incompatible ≤ v < 26.1.5+incompatible, 27.0.0+incompatible ≤ v < 27.1.1+incompatible | 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.