Amazon Linux 2：docker (ALASDOCKER-2024-040)

critical Nessus Plugin ID 204943

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 docker 版本為要比 25.0.6-1 舊。因此，它會受到 ALAS2DOCKER-2024-040 公告中提及的一個弱點影響。

Moby 是 Docker 建立的開放原始碼專案，可用於軟體容器化。在某些 Docker Engine 版本中偵測到一個安全性弱點，此弱點允許攻擊者在特定情況下繞過授權外掛程式 (AuthZ)。此弱點遭到利用的基本可能性很低。

如果使用特製的 API 要求，Engine API 用戶端可讓程序將要求或回應轉送至沒有內文的授權外掛程式。在某些情況下，授權外掛程式可能會允許在將內文轉送至其時本會拒絕的要求。

在 2018 年發現一個安全性問題，攻擊者可利用特製的 API 要求來繞過 AuthZ Plugin，這可導致未經授權的動作，包括權限提升。雖然此問題已於 2019 年 1 月在 Docker Engine v18.09.1 中修正，但此修正並未移轉至之後的主要版本，進而導致回歸。所有依賴可自我檢查要求和/或回應內文以做出存取控制決策的授權外掛程式使用者都可能會受到影響。

Docker EE v19.03.x 和 Mirantis Container Runtime 的所有版本均不受此弱點影響。

docker-ce v27.1.1 包含可修復該弱點的修補程式。修補程式也已合併至主要版本、19.0、20.0、23.0、24.0、25.0、26.0 和 26.1 版本分支。如果使用者無法立即升級，請避免使用 AuthZ 外掛程式和/或將 Docker API 的存取權限制為受信任方，遵循最小特權原則。(CVE-2024-41110)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。