CVE-2014-9357
WysokieStreszczenie
Docker w wersji 1.3.2 pozwala zdalnym atakującym na wykonanie dowolnego kodu z uprawnieniami roota poprzez spreparowany obraz lub budowę w Dockerfile w archiwum LZMA (.xz).
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do pełnej kompromitacji systemu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Dockera do najnowszej wersji, aby zniwelować ryzyko związane z tą podatnością.
Inne podatności w Docker 1.3.2
Zobacz wszystkie- CVE-2014-0047Wysokie
Docker w wersjach przed 1.5 umożliwia lokalnym użytkownikom wywołanie nieokreślonego wpływu poprzez niebezpieczne użycie katalogu /tmp.
- CVE-2014-6407Wysokie
Docker w wersjach przed 1.3.2 umożliwia zdalnym atakującym zapis do dowolnych plików oraz wykonanie dowolnego kodu poprzez atak symlink lub hard link w archiwum obrazu podczas operacji pull lub load.
- CVE-2014-3499Wysokie
Docker w wersji 1.0.0 używa uprawnień do odczytu i zapisu dla wszystkich na gnieździe zarządzania, co pozwala lokalnym użytkownikom na uzyskanie podwyższonych uprawnień za pomocą nieokreślonych wektorów.
- CVE-2026-66384ŚrednieAktywnie exploitowane
Uwierzytelniony użytkownik może zapisywać dane poza zamierzonym katalogiem pamięci podręcznej Dockera w określonych warunkach dotyczących zdalnych repozytoriów.
Oryginalny opis (angielski, źródło NVD)
Docker 1.3.2 allows remote attackers to execute arbitrary code with root privileges via a crafted (1) image or (2) build in a Dockerfile in an LZMA (.xz) archive, related to the chroot for archive extraction.