CVE-2025-54388
ŚrednieCVSS 4.6Streszczenie
W wersjach Docker Engine 28.2.0 do 28.3.2 przeładowanie usługi firewalld usuwa wszystkie reguły iptables, w tym te utworzone przez Docker. Wersje przed 28.3.3 nie odtwarzają reguł blokujących zewnętrzny dostęp do kontenerów, przez co kontenery z portami opublikowanymi na localhost stają się dostępne z maszyn zdalnych mających routing do mostka Docker. Problem naprawiono w wersji 28.3.3.
Ocena ryzyka
Po przeładowaniu firewalld kontenery, które powinny być dostępne tylko lokalnie, mogą zostać wystawione na dostęp z sieci, co prowadzi do nieautoryzowanego dostępu do usług. Ryzyko dotyczy środowisk Docker z firewalld i opublikowanymi portami.
Rekomendacja
Zaktualizuj Docker Engine do wersji 28.3.3 lub nowszej. Do czasu aktualizacji unikaj przeładowywania firewalld lub weryfikuj reguły iptables po każdym przeładowaniu.
Inne podatności w Docker Engine
Zobacz wszystkie- CVE-2016-8867Wysokie
Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.
- CVE-2015-3630Wysokie
Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.
- CVE-2026-92543Wysokie
Podatność w Docker Engine dotycząca błędnej klasyfikacji rejestru jako niezabezpieczonego. Funkcja loadInsecureRegistries() domyślnie dodaje 127.0.0.0/8 i ::1/128 jako niezabezpieczone CIDR, a isCIDRMatch zwraca true, jeśli jakikolwiek adres hosta pasuje do tych zakresów. Atakujący może wykorzystać odpowiedź DNS zawierającą adres loopback i adres atakującego, co prowadzi do wyłączenia weryfikacji certyfikatów i umożliwienia połączenia przez HTTP.
Oryginalny opis (angielski, źródło NVD)
Moby is an open source container framework developed by Docker Inc. that is distributed as Docker Engine, Mirantis Container Runtime, and various other downstream projects/products. In versions 28.2.0 through 28.3.2, when the firewalld service is reloaded it removes all iptables rules including those created by Docker. While Docker should automatically recreate these rules, versions before 28.3.3 fail to recreate the specific rules that block external access to containers. This means that after a firewalld reload, containers with ports published to localhost (like 127.0.0.1:8080) become accessible from remote machines that have network routing to the Docker bridge, even though they should only be accessible from the host itself. The vulnerability only affects explicitly published ports - unpublished ports remain protected. This issue is fixed in version 28.3.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS