CVE-2024-41110
Moby authz 零长度回归
- 已发布
- 2024年7月24日
- 已更新
- 2024年10月13日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H中 · 未来 30 天
- 百分位
- 97.0%
- 型号日期
- 2026年10月17日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Moby 是 Docker 创建的一个开源项目，用于软件容器化。在 Docker Engine 的某些版本中检测到一个安全漏洞，该漏洞可能允许攻击者在特定情况下绕过授权插件（AuthZ）。被利用的基础可能性较低。通过使用特制的 API 请求，Engine API 客户端可能使守护进程将请求或响应转发给授权插件时不包含请求体。在某些情况下，授权插件可能会允许一个原本在请求体被转发给它时会拒绝的请求。2018 年发现了一个安全问题，攻击者可以通过特制的 API 请求绕过 AuthZ 插件。这可能导致未经授权的操作，包括权限提升。尽管该问题已于 2019 年 1 月在 Docker Engine v18.09.1 中修复，但该修复未延续到后续主要版本，导致回归。任何依赖授权插件检查请求和/或响应体以做出访问控制决策的用户都可能受到影响。Docker EE v19.03.x 以及所有版本的 Mirantis Container Runtime 不受影响。docker-ce v27.1.1 包含修复该漏洞的补丁。补丁也已合并到 master、19.03、20.0、23.0、24.0、25.0、26.0 和 26.1 发布分支中。如果无法立即升级，请避免使用 AuthZ 插件，并/或按照最小权限原则，将 Docker API 的访问权限限制为仅限受信任方。
来源
基于Python的扫描器，通过检测易受攻击的Docker版本和AuthZ插件使用情况来检查Docker主机的CVE-2024-41110。
CVE-2026-34040的实验室复现：使用超大（>1MB）请求体绕过Docker/Moby AuthZ插件，创建具有主机访问权限的特权容器。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。