CVE-2014-6407
WysokieStreszczenie
Docker w wersjach przed 1.3.2 umożliwia zdalnym atakującym zapis do dowolnych plików oraz wykonanie dowolnego kodu poprzez atak symlink lub hard link w archiwum obrazu podczas operacji pull lub load.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad systemem, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Dockera do wersji 1.3.2 lub nowszej, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Docker
Zobacz wszystkie- CVE-2014-0047Wysokie
Docker w wersjach przed 1.5 umożliwia lokalnym użytkownikom wywołanie nieokreślonego wpływu poprzez niebezpieczne użycie katalogu /tmp.
- CVE-2014-9357Wysokie
Docker w wersji 1.3.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu z uprawnieniami roota poprzez spreparowany obraz lub budowę w Dockerfile w archiwum LZMA (.xz).
- CVE-2014-3499Wysokie
Docker w wersji 1.0.0 używa uprawnień do odczytu i zapisu dla wszystkich na gnieździe zarządzania, co pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień za pomocą nieokreślonych wektorów.
- CVE-2026-66384ŚrednieAktywnie exploitowane
Uwierzytelniony użytkownik może zapisywać dane poza zamierzonym katalogiem pamięci podręcznej Dockera w określonych warunkach dotyczących zdalnych repozytoriów.
Oryginalny opis (angielski, źródło NVD)
Docker before 1.3.2 allows remote attackers to write to arbitrary files and execute arbitrary code via a (1) symlink or (2) hard link attack in an image archive in a (a) pull or (b) load operation.