現已提供適用於 Red Hat Enterprise Linux 7 Extras 的 docker 更新。

Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Docker 是一種開放原始碼引擎，可將任何應用程式自動化部署為輕量型、可攜式且可在任何地方執行的自足容器。

安全性修正：

* 據發現，Docker 可在指定的 UID 而非使用者名稱之下啟動容器。能啟動容器的攻擊者便可利用此瑕疵，在已啟動的容器中將自己的權限提升至 root。(CVE-2016-3697)

此問題是由 Mrunal Patel (Red Hat) 所發現。

錯誤修正：

* 提取影像的處理程序會使影像資訊清單中的每個層級衍生一個「goroutine」。即使其他 goroutine 仍持續執行，並持續透過附加至 http 回應寫入器的進度讀取器寫入輸出，但只要下載其中任何一個項目，則所有動作都會停止並傳回錯誤。由於要求處置程式已從第一個錯誤傳回，因此其中一個下載 goroutine 寫入回應寫入器緩衝區時，會導致 http 伺服器發生錯誤。此錯誤已修正，docker 不會再於提取影像時發生錯誤。(BZ#1264562)

* 先前，在特定情況下，容器 rootfs 在容器移除期間會維持忙碌狀態。通常在容器掛載點洩漏到其他掛載命名空間時會發生此問題。因此，容器移除作業會失敗。為修正此錯誤，現已提供新的 docker 程序選項「dm.use_deferred_deletion」。若設為 true，此選項將會延遲 rootfs 刪除作業。使用者可以看到容器移除成功，但用於備份 rootfs 的實際精簡裝置則會於稍後不再忙碌時才刪除。(BZ#1190492)

* 先前，Docker 單位檔案將「Restart」選項設為「on-failure」。這會使 docker 程序即使在因組態或其他問題，而無法重新啟動的情況下，被強制執行重新啟動，並使得 docker-storage-setup 服務進行不必要的重新啟動而進入迴圈。由於執行太多重新啟動，這也會造成真正的錯誤訊息遺失。為修正此錯誤，docker 單位檔案中的「Restart=on-failure」已取代為「Restart=on-abnormal」。現在 docker 程序未正常結束程式碼時，不會再自動重新啟動。
(BZ#1319783)

* 先前，docker 程序兩次未正確讀取要求內文，因此傳回 EOF 錯誤。為修正此錯誤，現已移除第一次未正確讀取要求內文的程式碼。因此，不會再傳回 EOF 錯誤，並可在真正需要時正確讀取內文。(BZ#1329743)

增強功能：

* /usr/bin/docker 指令碼現可根據 /etc/sysconfig/docker 中顯示的 sysconfig 變數 DOCKERBINARY 值，呼叫 /usr/bin/docker-current 或 /usr/bin/docker-latest。docker-common 套件提供的 /usr/bin/docker 和 /etc/sysconfig/docker 允許系統管理員設定要呼叫的 docker 用戶端二進位。
未安裝 docker 時，/usr/bin/docker 預設為呼叫 /usr/bin/docker-latest。如果已安裝 docker，則 /usr/bin/docker 預設為呼叫 /usr/bin/docker-current，除非 DOCKERBINARY 在 /etc/sysconfig/docker 中設為 /usr/bin/docker-latest。如此您即可直接使用 docker-latest 或 docker，而無須確認目前正在執行的程序版本。(BZ#1328219)

偵測

RHEL 7：docker (RHSA-2016:1034)

high Nessus Plugin ID 91115

找不到變更記錄