Docker cảnh báo về lỗ hổng ảnh hưởng nghiêm trọng đến một số phiên bản của Docker Engine

[WhiteHat Team]

Docker đang cảnh báo về một lỗ hổng ảnh hưởng nghiêm trọng đến một số phiên bản của Docker Engine, có thể cho phép tin tặc bỏ qua các plugin ủy quyền (AuthZ) trong các trường hợp cụ thể.

​

Lỗ hổng CVE-2024-41110 mang điểm CVSS là 10.0, cho thấy mức độ nghiêm trọng tối đa.

Tin tặc có thể khai thác bằng cách sử dụng một yêu cầu API với Content-Length được đặt là 0, khiến Docker daemon chuyển tiếp yêu cầu mà không có nội dung đến plugin AuthZ, và plugin này có thể phê duyệt yêu cầu không chính xác.

Docker cho biết lỗ hổng này là một sự lặp lại vì nó đã được phát hiện ban đầu vào năm 2018 và đã được khắc phục trong Docker Engine v18.09.1 vào tháng 1/ 2019, nhưng không được mang sang các phiên bản sau (19.03 và các phiên bản sau đó).

Các phiên bản Docker Engine bị ảnh hưởng nếu sử dụng AuthZ để đưa ra quyết định kiểm soát truy cập bao gồm:

- <= v19.03.15
- <= v20.10.27
- <= v23.0.14
- <= v24.0.9
- <= v25.0.5
- <= v26.0.2
- <= v26.1.4
- <= v27.0.3
- <= v27.1.0

Người dùng của Docker Engine v19.03.x và các phiên bản sau không dựa vào các plugin ủy quyền để đưa ra quyết định kiểm soát truy cập và người dùng của tất cả các phiên bản của Mirantis Container Runtime không bị ảnh hưởng.

Lỗ hổng này cũng ảnh hưởng đến Docker Desktop đến các phiên bản 4.32.0, mặc dù công ty cho biết khả năng khai thác là hạn chế và yêu cầu truy cập vào Docker API, đòi hỏi tin tặc phải có quyền truy cập cục bộ vào máy chủ. Một bản sửa lỗi dự kiến sẽ được bao gồm trong bản phát hành sắp tới (phiên bản 4.33).

Mặc dù Docker không đề cập đến việc CVE-2024-41110 đã bị khai thác trong thực tế, nhưng điều quan trọng là người dùng phải áp dụng phiên bản mới nhất (23.0.14 và 27.1.0 ) để giảm thiểu các mối đe dọa tiềm ẩn.

Theo The Hacker News​