CVE-2024-41110

Резюме

Moby — это проект с открытым исходным кодом, созданный Docker для контейнеризации программного обеспечения. В определённых версиях Docker Engine была обнаружена уязвимость безопасности, которая при определённых обстоятельствах может позволить атакующему обойти плагины авторизации (AuthZ). Базовая вероятность эксплуатации этой уязвимости низкая. Используя специально сформированный API-запрос, клиент Engine API может заставить демон пересылать запрос или ответ плагину авторизации без тела запроса. В определённых обстоятельствах плагин авторизации может разрешить запрос, который в противном случае был бы отклонён, если бы тело запроса было ему переслано. Проблема безопасности была обнаружена в 2018 году, когда атакующий мог обойти плагины AuthZ с помощью специально сформированного API-запроса. Это могло привести к несанкционированным действиям, включая повышение привилегий. Хотя эта проблема была исправлена в Docker Engine v18.09.1 в январе 2019 года, исправление не было перенесено в более поздние основные версии, что привело к регрессии. Все, кто полагается на плагины авторизации, которые анализируют тело запроса и/или ответа для принятия решений по контролю доступа, потенциально затронуты. Docker EE v19.03.x и все версии Mirantis Container Runtime не уязвимы. docker-ce v27.1.1 содержит исправления для устранения этой уязвимости. Исправления также были объединены в ветки релизов master, 19.03, 20.0, 23.0, 24.0, 25.0, 26.0 и 26.1. Если невозможно немедленно выполнить обновление, следует избегать использования плагинов AuthZ и/или ограничить доступ к Docker API доверенными сторонами, следуя принципу наименьших привилегий.

Источники

• CVE-2024-41110-SCANСканер

  Сканер на Python, который проверяет хосты Docker на CVE-2024-41110, обнаруживая уязвимые версии Docker и использование плагина AuthZ.

• CVE-2026-34040-PoC