CVE-2015-3630

Wysokie

Opublikowano: 18/05/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do przeprowadzenia ataków downgrade protokołu oraz uzyskania dostępu do krytycznych danych systemowych.

Rekomendacja

Zaleca się aktualizację Docker Engine do wersji 1.6.1 lub nowszej w celu załatania tej podatności.

Inne podatności w Docker Engine

CVE-2016-8867Wysokie
Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.

Oryginalny opis (angielski, źródło NVD)

Docker Engine before 1.6.1 uses weak permissions for (1) /proc/asound, (2) /proc/timer_stats, (3) /proc/latency_stats, and (4) /proc/fs, which allows local users to modify the host, obtain sensitive information, and perform protocol downgrade attacks via a crafted image.