CVE-2025-62725
Açıklama
Docker Compose, uzak OCI compose yapıtlarına gömülü yol bilgilerine güvenir. Bir katman com.docker.compose.extends veya com.docker.compose.envfile ek açıklamalarını içerdiğinde, Compose saldırgan tarafından sağlanan com.docker.compose.file/com.docker.compose.envfile değerini yerel önbellek diziniyle birleştirir ve dosyayı oraya yazar. Bu durum, uzak OCI compose yapıtlarını çözen her platformu veya iş akışını etkiler; Docker Desktop, Linux üzerindeki bağımsız Compose ikili dosyaları, CI/CD çalıştırıcıları ve bulut geliştirme ortamları etkilenir. Bir saldırgan, önbellek dizininden kaçarak ve kullanıcı yalnızca docker compose config veya docker compose ps gibi salt okunur komutları çalıştırsa bile docker compose çalıştıran makinede rastgele dosyaların üzerine yazabilir. Bu sorun v2.40.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/docker/compose/v22.40.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/docker/compose/v2Go | 2.34.0 ≤ v < 2.40.2, v < 2.40.2 | 2.40.2 |
| github.com/docker/composeGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.