CVE-2016-8867

Wysokie

Opublikowano: 28/10/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.

Ocena ryzyka

Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych przechowywanych w kontenerach, co może prowadzić do wycieku informacji lub naruszenia bezpieczeństwa.

Rekomendacja

Zaleca się aktualizację Docker Engine do najnowszej wersji oraz przegląd i poprawę polityk zdolności, aby zminimalizować ryzyko związane z nieautoryzowanym dostępem.

Inne podatności w Docker Engine 1.12.2

CVE-2015-3630Wysokie
Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.

Oryginalny opis (angielski, źródło NVD)

Docker Engine 1.12.2 enabled ambient capabilities with misconfigured capability policies. This allowed malicious images to bypass user permissions to access files within the container filesystem or mounted volumes.