Docker (CVE-2018-15664) 路径遍历漏洞预警

2019年6月1日00:01:46 发表评论

Docker (CVE-2018-15664) 路径遍历漏洞预警

0x00背景介绍


Docker 是一个开源的应用容器引擎,开发者可以打包他们的应用以及依赖包到一个可移植的镜像中,然后发布到任何流行的Linux或Windows机器上,也可以实现虚拟化。容器是完全使用沙箱机制,相互之间不会有任何接口。

0x01漏洞描述


Docker存在一个由于竞争条件引起的路径遍历漏洞,该漏洞的存在会导致docker易受到符号链接攻击。目前所有版本的docker均受到该漏洞影响。

Docker可能允许远程攻击者遍历主机系统上的目录,通过在容器中执行文件系统操作时允许执行容器进程。攻击者可以利用此漏洞获取对主机上任何路径的读写访问权限。

1.1漏洞编号

CVE-2018-15664

1.2漏洞等级

高危

0x02修复建议


2.1受影响版本

docker 全版本

2.2解决方案

目前Docker还没有正式发布针对此漏洞的修复版本,请受影响的用户关注Docker官方的更新情况,在发布更新后请尽快升级。目前漏洞作者已经提交了针对该漏洞的修复建议。

漏洞作者给出的临时的解决方案如下:使用文件系统时暂停容器。这种方法能够阻止最基本的攻击,但是在某些攻击场景下可能无法发挥作用。

发表评论

后发表评论