Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Docker Engine opravuje kritickú zraniteľnosť
Docker Engine verziou v27.1.1 opravuje kritickú zraniteľnosť. V prípade, že nie je možné vykonať aktualizáciu, spoločnosť odporúča vyhnúť sa používaniu pluginov AuthZ a obmedziť prístup k rozhraniu Docker API na dôveryhodné strany podľa zásady najmenších oprávnení [1].
Autentizovanému vzdialenému útočníkovi je umožnené obísť požiadavku API s nastavenou hodnotou Content-Length na 0, čo spôsobí, že démon nástroja Docker odovzdá požiadavku bez obsahu zásuvnému modulu AuthZ, ktorý môže požiadavku nesprávne schváliť [2] [1].
Zraniteľnosť sa nachádza v produkte:
- Docker Engine; <=v19.03.15; <=v20.10.27; <=v23.0.14; <=v24.0.9; <=v25.0.5; <=v26.0.2; <=v26.1.4; <=v27.0.3; <=v27.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-41110 na cve.org, NVD
- CWE-187: Partial String Comparison na cwe.mitre.org
- CWE-444: Inconsistent Interpretation of HTTP Requests na cwe.mitre.org
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 23. 7. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 26. 7. 2024.