CVE-2014-3499
WysokieStreszczenie
Docker w wersji 1.0.0 używa uprawnień do odczytu i zapisu dla wszystkich na gnieździe zarządzania, co pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień za pomocą nieokreślonych wektorów.
Ocena ryzyka
Lokalni użytkownicy mogą wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do systemu, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Dockera do nowszej wersji, która poprawia zarządzanie uprawnieniami gniazda zarządzania.
Inne podatności w Docker 1.0.0
Zobacz wszystkie- CVE-2014-0047Wysokie
Docker w wersjach przed 1.5 umożliwia lokalnym użytkownikom wywołanie nieokreślonego wpływu poprzez niebezpieczne użycie katalogu /tmp.
- CVE-2014-9357Wysokie
Docker w wersji 1.3.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu z uprawnieniami roota poprzez spreparowany obraz lub budowę w Dockerfile w archiwum LZMA (.xz).
- CVE-2014-6407Wysokie
Docker w wersjach przed 1.3.2 umożliwia zdalnym atakującym zapis do dowolnych plików oraz wykonanie dowolnego kodu poprzez atak symlink lub hard link w archiwum obrazu podczas operacji pull lub load.
- CVE-2026-66384ŚrednieAktywnie exploitowane
Uwierzytelniony użytkownik może zapisywać dane poza zamierzonym katalogiem pamięci podręcznej Dockera w określonych warunkach dotyczących zdalnych repozytoriów.
Oryginalny opis (angielski, źródło NVD)
Docker 1.0.0 uses world-readable and world-writable permissions on the management socket, which allows local users to gain privileges via unspecified vectors.