Docker Engine opravuje kritickou zranitelnost

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] Docker Engine opravuje kritickou zranitelnost

Docker Engine verzí v27.1.1 opravuje kritickou zranitelnost. V případě, že nelze provést aktualizaci, společnost doporučuje vyhnout se používání pluginů AuthZ a omezit přístup k rozhraní Docker API na důvěryhodné strany dle zásady nejmenšího oprávnění [1].

Docker Engine - (CVE-2024-41110)

CVSS 9.9 (Critical)

Autentizovanému vzdálenému útočníkovi je umožněno obejít požadavek API s nastavenou hodnotou Content-Length na 0, což způsobí, že démon nástroje Docker předá požadavek bez obsahu zásuvnému modulu AuthZ, který může požadavek nesprávně schválit [2] [1].

Zranitelnost se nachází v produktu:

Docker Engine; <=v19.03.15; <=v20.10.27; <=v23.0.14; <=v24.0.9; <=v25.0.5; <=v26.0.2; <=v26.1.4; <=v27.0.3; <=v27.1.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

CVE-2024-41110 na cve.org, NVD
CWE-187: Partial String Comparison na cwe.mitre.org
CWE-444: Inconsistent Interpretation of HTTP Requests na cwe.mitre.org
CWE-863: Incorrect Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 23. 7. 2024.

Odkazy

Za CESNET, z.s.p.o. Michaela Jarošová dne 26. 7. 2024.

Zpětná vazba k reportu

[TLP:CLEAR] Docker Engine opravuje kritickou zranitelnost

Docker Engine - (CVE-2024-41110)

CVSS 9.9 (Critical)

Odkazy