遠端 Debian 11 主機上安裝的多個套件受到 dla-3918 公告中提及的一個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3918-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 10 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：docker.io 版本：20.10.5+dfsg1-1+deb11u3 CVE ID：CVE-2024-41110 Debian 錯誤：1084993

    在 Docker Engine 中偵測到一個弱點，此弱點允許攻擊者在特定情況下繞過授權外掛程式 (AuthZ)。

    針對 Debian 11 Bullseye，已在版本 20.10.5+dfsg1-1+deb11u3 中修正此問題。

    建議您升級 docker.io 套件。

    如需有關 docker.io 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/docker.io

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 docker 版本為要比 25.0.6-1 舊。因此，會受到 ALAS2ECS-2024-042 公告中所提及的多個弱點影響。

    2025-01-04 : 已將 CVE-2024-36620 新增至此公告。

    2025-01-04 : 已將 CVE-2024-36623 新增至此公告。

    跟隨 HTTP 重新導向至不符合子網域的網域或不完全符合初始網域的網域時，http.Client 不會轉送敏感標頭，例如 Authorization 或 Cookie。例如，從 foo.com 重新導向至 www.foo.com 會轉送授權標頭，但重新導向至 bar.com 則不會。惡意的特質 HTTP 重新導向可導致意外轉送敏感標頭。(CVE-2023-45289)

    在解除封送某些形式的無效 JSON 時，protojson.Unmarshal 函式會進入無限迴圈。將資料解除封送為含有 google.protobuf.Any 值的訊息時，或在設定 UnmarshalOptions.DiscardUnknown 選項時，便會發生此情形。(CVE-2024-24786)

    多種 Is 方法 (IsPrivate、IsLoopback 等) 並未如預期地針對 IPv4 對應的 IPv6 位址運作，這導致會在傳統 IPv4 表單中傳回 true 的位址傳回 false。
    (CVE-2024-24790)

    Moby 是一種開放原始碼容器架構，是 Docker Engine、Docker Desktop 和其他容器工具或執行階段發行版本的重要元件。Moby 的網路實作允許定義許多網路，每個網路可設定各自的 IP 位址範圍和閘道。此功能常稱為自訂網路，因為每個網路可有不同的驅動程式、參數集及行為。建立網路時，「--internal」標記用於將網路指定為 _internal_。
    docker-compose.yml 檔案中的「internal」屬性也可用來將網路標記為 _internal_，且其他 API 用戶端也可指定「internal」參數。

    建立具有網路功能的容器時，系統會指派唯一的網路介面和 IP 位址。
    主機作為非內部網路的路由器，其閘道 IP 可提供往來容器 IP 的 SNAT/DNAT。

    由於未設定預設路由，且防火牆規則設為中斷所有傳出流量，內部網路中的容器可相互通訊，但無法與主機可存取的網路 (LAN 或 WAN) 通訊。此外，也可與閘道 IP 位址 (及適當設定的主機服務) 進行通訊，且主機可直接與任何容器 IP 進行通訊。

    「dockerd」除了設定 Linux 核心的多種網路功能以啟用容器網路之外，還直接提供某些服務給容器網路。它主要是發揮解析器的功用，可啟用服務探索，以及透過上游解析器解析名稱。

    收到名稱與容器不相符的 DNS 要求時，系統會將要求轉送至已設定的上游解析器。此要求從容器的網路命名空間發出：存取層級和流量轉送都和直接從容器發出要求一樣。

    由於採用此設計，僅附加到內部網路的容器將無法透過上游解析器解析名稱，這是因為容器本身無法與該名稱伺服器通訊。只能解析也附加至內部網路的容器名稱。

    許多系統執行本機轉送 DNS 解析器。由於主機和所有容器都有獨立的回送裝置，上述設計會導致容器無法透過主機所設定的解析器解析名稱，這是因為它們無法到達主機回送裝置上的這些位址。為了解決此問題，並讓容器即便在將本機轉送解析器用於回送位址時也能妥善解析名稱，「dockerd」會偵測此情境，並改為從主機 namework 命名空間轉送 DNS 要求。然後，回送解析器會如預期將要求轉送至已設定的上游解析器。

    由於 `dockerd` 會將 DNS 要求轉送至主機回送裝置，完全忽略容器網路命名空間的正常轉送語意，因此內部網路可能會意外將 DNS 要求轉送至外部名稱伺服器。攻擊者可為所掌控的名稱伺服器註冊網域，藉此利用受到入侵的容器在 DNS 查詢中將資料進行編碼，最終透過名稱伺服器取得解碼的資料。

    Docker Desktop 一律會在 RFC 1918 位址上執行內部解析器，因此不會受到影響。

    Moby 26.0.0、25.0.4 和 23.0.11 版已經過修補，可避免從內部網路轉送 DNS 要求。您可以改為使用自訂上游位址執行預定單獨附加至內部網路的容器，這會強制從容器的網路命名空間解析所有上游 DNS 查詢 (CVE-2024-29018)。

    moby v25.0.0 - v26.0.2 容易受到透過 daemon/images/image_history.go 造成的 NULL 指標解除參照影響。
    (CVE-2024-36620)

    moby v25.0.3 在 streamformatter 套件中有一個爭用情形弱點，可用來觸發多個並行寫入作業，進而導致資料損毀或應用程式損毀。
    (CVE-2024-36623)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致特權提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2024-708 公告中所提及的多個弱點影響。

    Azure Identity Libraries 和 Microsoft Authentication Library 權限提升弱點 (CVE-2024-35255)

    OpenTelemetry Collector 針對如何接收、處理和匯出遙測資料，提供與供應商無關的實作。不安全的解壓縮弱點允許未經驗證的攻擊者透過記憶體過度消耗來造成收集器損毀。OTel Collector 0.102.1 版已修復此問題。此問題也已在 confighttp 模組 0.102.0 版和 configgrpc 模組 0.102.1 版中修復。(CVE-2024-36129)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致權限提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 未在將 url 寫入其記錄檔時對其進行清理，這可導致 go-retryablehttp 將敏感的 HTTP 基本驗證認證寫入其記錄檔。此弱點 CVE-2024-6104 已在 go-retryablehttp 0.7.7 中修正。(CVE-2024-6104)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 docker 版本為要比 25.0.6-1 舊。因此，會受到 ALAS2NITRO-ENCLAVES-2024-041 公告中所提及的多個弱點影響。

    2025-01-04 : 已將 CVE-2024-36620 新增至此公告。

    2025-01-04 : 已將 CVE-2024-36623 新增至此公告。

    2024-08-27：已將 CVE-2024-29018 新增至此公告。

    2024-08-27：已將 CVE-2024-24786 新增至此公告。

    在解除封送某些形式的無效 JSON 時，protojson.Unmarshal 函式會進入無限迴圈。將資料解除封送為含有 google.protobuf.Any 值的訊息時，或在設定 UnmarshalOptions.DiscardUnknown 選項時，便會發生此情形。(CVE-2024-24786)

    Moby 是一種開放原始碼容器架構，是 Docker Engine、Docker Desktop 和其他容器工具或執行階段發行版本的重要元件。Moby 的網路實作允許定義許多網路，每個網路可設定各自的 IP 位址範圍和閘道。此功能常稱為自訂網路，因為每個網路可有不同的驅動程式、參數集及行為。建立網路時，「--internal」標記用於將網路指定為 _internal_。
    docker-compose.yml 檔案中的「internal」屬性也可用來將網路標記為 _internal_，且其他 API 用戶端也可指定「internal」參數。

    建立具有網路功能的容器時，系統會指派唯一的網路介面和 IP 位址。
    主機作為非內部網路的路由器，其閘道 IP 可提供往來容器 IP 的 SNAT/DNAT。

    由於未設定預設路由，且防火牆規則設為中斷所有傳出流量，內部網路中的容器可相互通訊，但無法與主機可存取的網路 (LAN 或 WAN) 通訊。此外，也可與閘道 IP 位址 (及適當設定的主機服務) 進行通訊，且主機可直接與任何容器 IP 進行通訊。

    「dockerd」除了設定 Linux 核心的多種網路功能以啟用容器網路之外，還直接提供某些服務給容器網路。它主要是發揮解析器的功用，可啟用服務探索，以及透過上游解析器解析名稱。

    收到名稱與容器不相符的 DNS 要求時，系統會將要求轉送至已設定的上游解析器。此要求從容器的網路命名空間發出：存取層級和流量轉送都和直接從容器發出要求一樣。

    由於採用此設計，僅附加到內部網路的容器將無法透過上游解析器解析名稱，這是因為容器本身無法與該名稱伺服器通訊。只能解析也附加至內部網路的容器名稱。

    許多系統執行本機轉送 DNS 解析器。由於主機和所有容器都有獨立的回送裝置，上述設計會導致容器無法透過主機所設定的解析器解析名稱，這是因為它們無法到達主機回送裝置上的這些位址。為了解決此問題，並讓容器即便在將本機轉送解析器用於回送位址時也能妥善解析名稱，「dockerd」會偵測此情境，並改為從主機 namework 命名空間轉送 DNS 要求。然後，回送解析器會如預期將要求轉送至已設定的上游解析器。

    由於 `dockerd` 會將 DNS 要求轉送至主機回送裝置，完全忽略容器網路命名空間的正常轉送語意，因此內部網路可能會意外將 DNS 要求轉送至外部名稱伺服器。攻擊者可為所掌控的名稱伺服器註冊網域，藉此利用受到入侵的容器在 DNS 查詢中將資料進行編碼，最終透過名稱伺服器取得解碼的資料。

    Docker Desktop 一律會在 RFC 1918 位址上執行內部解析器，因此不會受到影響。

    Moby 26.0.0、25.0.4 和 23.0.11 版已經過修補，可避免從內部網路轉送 DNS 要求。您可以改為使用自訂上游位址執行預定單獨附加至內部網路的容器，這會強制從容器的網路命名空間解析所有上游 DNS 查詢 (CVE-2024-29018)。

    moby v25.0.0 - v26.0.2 容易受到透過 daemon/images/image_history.go 造成的 NULL 指標解除參照影響。
    (CVE-2024-36620)

    moby v25.0.3 在 streamformatter 套件中有一個爭用情形弱點，可用來觸發多個並行寫入作業，進而導致資料損毀或應用程式損毀。
    (CVE-2024-36623)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致特權提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Azure Linux 3.0 主機上安裝的 moby-engine 版本比測試版本舊。因此，此版本會受到 CVE-2024-41110 公告中提及的一個弱點影響。

  - Moby 是 Docker 所建立的開放原始碼專案用於軟體容器化。在某些 Docker Engine 版本中偵測到一個安全性弱點，此弱點允許攻擊者在特定情況下繞過授權外掛程式 (AuthZ)。此弱點遭到利用的基本可能性很低。如果使用特製的 API 要求，Engine API 用戶端可讓程序將要求或回應轉送至沒有內文的授權外掛程式。在某些情況下授權外掛程式可能會允許在將內文轉送至其時授權外掛程式原本會拒絕的要求。在 2018 年發現一個安全性問題，攻擊者可利用特製的 API 要求來繞過 AuthZ Plugin，這可導致未經授權的動作，包括特權提升。雖然此問題已於 2019 年 1 月在 Docker Engine v18.09.1 中修正，但此修正並未移轉至之後的主要版本，進而導致回歸。所有依賴可自我檢查要求和/或回應內文以做出存取控制決策的授權外掛程式使用者都可能會受到影響。Docker EE v19.03.x 和所有版本的 Mirantis Container Runtime 皆不會受到影響。 docker-ce v27.1.1 包含可修正該弱點的修補程式。修補程式也已合併至主要版本、19.03、20.0、23.0、24.0、25.0、26.0 和 26.1 版本分支。如果使用者無法立即升級請避免使用 AuthZ 外掛程式和/或遵循最小權限原則將 Docker API 的存取權限制為受信任方。
    (CVE-2024-41110)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 amazon-cloudwatch-agent 版本低於 1.300044.0-1。因此，會受到 ALAS2-2024-2630 公告中所提及的多個弱點影響。

    Azure Identity Libraries 和 Microsoft Authentication Library 權限提升弱點 (CVE-2024-35255)

    OpenTelemetry Collector 針對如何接收、處理和匯出遙測資料，提供與供應商無關的實作。不安全的解壓縮弱點允許未經驗證的攻擊者透過記憶體過度消耗來造成收集器損毀。OTel Collector 0.102.1 版已修復此問題。此問題也已在 confighttp 模組 0.102.0 版和 configgrpc 模組 0.102.1 版中修復。(CVE-2024-36129)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致權限提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 未在將 url 寫入其記錄檔時對其進行清理，這可導致 go-retryablehttp 將敏感的 HTTP 基本驗證認證寫入其記錄檔。此弱點 CVE-2024-6104 已在 go-retryablehttp 0.7.7 中修正。(CVE-2024-6104)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 18.04 LTS/24.04 LTS 主機上安裝的一個套件受到 USN-7161-1 公告中所提及的多個弱點影響。

    Yair Zak 發現 Docker 可能會以非預期方式

    從內部網路非預期地轉送 DNS 要求。攻擊者可能利用此問題，透過編碼 DNS 查詢中的資訊將資料洩漏

    給受控制的名稱伺服器。這個問題只在

    Ubuntu 24.04 LTS 中獲得解決。(CVE-2024-29018)

    Cory Snider 發現 Docker 未正確處理授權

    plugin 要求處理。攻擊者可能會利用此問題

    透過轉發不包含整內文的 API 要求繞過

    授權控制，進而導致未經授權的動作。(CVE-2024-41110)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Docker Engine (Moby) 版本低於 23.0.15，或為低於 25.0.6 的 25.x、低於 26.1.5 的 26.x 或低於 27.1.1 的 27.x，因此會受到驗證繞過弱點影響。如果使用特製的 API 要求，Engine API 用戶端可讓程序將要求或回應轉送至沒有內文的授權外掛程式。在某些情況下，授權外掛程式可能會允許在將內文轉送至其時本會拒絕的要求。在 2018 年發現一個安全性問題，攻擊者可利用特製的 API 要求來繞過 AuthZ Plugin，這可導致未經授權的動作，包括特權提升。雖然此問題已於 2019 年 1 月在 Docker Engine v18.09.1 中修正，但此修正並未移轉至之後的主要版本，進而導致回歸。所有依賴可自我檢查要求和/或回應內文以做出存取控制決策的授權外掛程式使用者都可能會受到影響。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 docker 版本為要比 25.0.6-1 舊。因此，會受到 ALAS2DOCKER-2024-040 公告中所提及的多個弱點影響。

    2025-01-04 : 已將 CVE-2024-36620 新增至此公告。

    2025-01-04 : 已將 CVE-2024-36623 新增至此公告。

    2024-08-27：已將 CVE-2024-29018 新增至此公告。

    2024-08-27：已將 CVE-2024-24786 新增至此公告。

    在解除封送某些形式的無效 JSON 時，protojson.Unmarshal 函式會進入無限迴圈。將資料解除封送為含有 google.protobuf.Any 值的訊息時，或在設定 UnmarshalOptions.DiscardUnknown 選項時，便會發生此情形。(CVE-2024-24786)

    Moby 是一種開放原始碼容器架構，是 Docker Engine、Docker Desktop 和其他容器工具或執行階段發行版本的重要元件。Moby 的網路實作允許定義許多網路，每個網路可設定各自的 IP 位址範圍和閘道。此功能常稱為自訂網路，因為每個網路可有不同的驅動程式、參數集及行為。建立網路時，「--internal」標記用於將網路指定為 _internal_。
    docker-compose.yml 檔案中的「internal」屬性也可用來將網路標記為 _internal_，且其他 API 用戶端也可指定「internal」參數。

    建立具有網路功能的容器時，系統會指派唯一的網路介面和 IP 位址。
    主機作為非內部網路的路由器，其閘道 IP 可提供往來容器 IP 的 SNAT/DNAT。

    由於未設定預設路由，且防火牆規則設為中斷所有傳出流量，內部網路中的容器可相互通訊，但無法與主機可存取的網路 (LAN 或 WAN) 通訊。此外，也可與閘道 IP 位址 (及適當設定的主機服務) 進行通訊，且主機可直接與任何容器 IP 進行通訊。

    「dockerd」除了設定 Linux 核心的多種網路功能以啟用容器網路之外，還直接提供某些服務給容器網路。它主要是發揮解析器的功用，可啟用服務探索，以及透過上游解析器解析名稱。

    收到名稱與容器不相符的 DNS 要求時，系統會將要求轉送至已設定的上游解析器。此要求從容器的網路命名空間發出：存取層級和流量轉送都和直接從容器發出要求一樣。

    由於採用此設計，僅附加到內部網路的容器將無法透過上游解析器解析名稱，這是因為容器本身無法與該名稱伺服器通訊。只能解析也附加至內部網路的容器名稱。

    許多系統執行本機轉送 DNS 解析器。由於主機和所有容器都有獨立的回送裝置，上述設計會導致容器無法透過主機所設定的解析器解析名稱，這是因為它們無法到達主機回送裝置上的這些位址。為了解決此問題，並讓容器即便在將本機轉送解析器用於回送位址時也能妥善解析名稱，「dockerd」會偵測此情境，並改為從主機 namework 命名空間轉送 DNS 要求。然後，回送解析器會如預期將要求轉送至已設定的上游解析器。

    由於 `dockerd` 會將 DNS 要求轉送至主機回送裝置，完全忽略容器網路命名空間的正常轉送語意，因此內部網路可能會意外將 DNS 要求轉送至外部名稱伺服器。攻擊者可為所掌控的名稱伺服器註冊網域，藉此利用受到入侵的容器在 DNS 查詢中將資料進行編碼，最終透過名稱伺服器取得解碼的資料。

    Docker Desktop 一律會在 RFC 1918 位址上執行內部解析器，因此不會受到影響。

    Moby 26.0.0、25.0.4 和 23.0.11 版已經過修補，可避免從內部網路轉送 DNS 要求。您可以改為使用自訂上游位址執行預定單獨附加至內部網路的容器，這會強制從容器的網路命名空間解析所有上游 DNS 查詢 (CVE-2024-29018)。

    moby v25.0.0 - v26.0.2 容易受到透過 daemon/images/image_history.go 造成的 NULL 指標解除參照影響。
    (CVE-2024-36620)

    moby v25.0.3 在 streamformatter 套件中有一個爭用情形弱點，可用來觸發多個並行寫入作業，進而導致資料損毀或應用程式損毀。
    (CVE-2024-36623)

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致特權提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2024-674 公告中所提及的多個弱點影響。

    2024-08-28：已將 CVE-2024-29018 新增至此公告。

    2024-08-28：已將 CVE-2024-24786 新增至此公告。

    在解除封送某些形式的無效 JSON 時，protojson.Unmarshal 函式會進入無限迴圈。將資料解除封送為含有 google.protobuf.Any 值的訊息時，或在設定 UnmarshalOptions.DiscardUnknown 選項時，便會發生此情形。(CVE-2024-24786)

    Moby 是一種開放原始碼容器架構，是 Docker Engine、Docker Desktop 和其他容器工具或執行階段發行版本的重要元件。Moby 的網路實作允許定義許多網路，每個網路可設定各自的 IP 位址範圍和閘道。此功能常稱為自訂網路，因為每個網路可有不同的驅動程式、參數集及行為。建立網路時，「--internal」標記用於將網路指定為 _internal_。
    docker-compose.yml 檔案中的「internal」屬性也可用來將網路標記為 _internal_，且其他 API 用戶端也可指定「internal」參數。

    建立具有網路功能的容器時，系統會指派唯一的網路介面和 IP 位址。
    主機作為非內部網路的路由器，其閘道 IP 可提供往來容器 IP 的 SNAT/DNAT。

    由於未設定預設路由，且防火牆規則設為中斷所有傳出流量，內部網路中的容器可相互通訊，但無法與主機可存取的網路 (LAN 或 WAN) 通訊。此外，也可與閘道 IP 位址 (及適當設定的主機服務) 進行通訊，且主機可直接與任何容器 IP 進行通訊。

    「dockerd」除了設定 Linux 核心的多種網路功能以啟用容器網路之外，還直接提供某些服務給容器網路。它主要是發揮解析器的功用，可啟用服務探索，以及透過上游解析器解析名稱。

    收到名稱與容器不相符的 DNS 要求時，系統會將要求轉送至已設定的上游解析器。此要求從容器的網路命名空間發出：存取層級和流量轉送都和直接從容器發出要求一樣。

    由於採用此設計，僅附加到內部網路的容器將無法透過上游解析器解析名稱，這是因為容器本身無法與該名稱伺服器通訊。只能解析也附加至內部網路的容器名稱。

    許多系統執行本機轉送 DNS 解析器。由於主機和所有容器都有獨立的回送裝置，上述設計會導致容器無法透過主機所設定的解析器解析名稱，這是因為它們無法到達主機回送裝置上的這些位址。為了解決此問題，並讓容器即便在將本機轉送解析器用於回送位址時也能妥善解析名稱，「dockerd」會偵測此情況，並改為從主機 namework 命名空間轉送 DNS 要求。然後，回送解析器會如預期將要求轉送至已設定的上游解析器。

    由於 `dockerd` 會將 DNS 要求轉送至主機回送裝置，完全忽略容器網路命名空間的正常轉送語意，因此內部網路可能會意外將 DNS 要求轉送至外部名稱伺服器。攻擊者可為所掌控的名稱伺服器註冊網域，藉此利用所入侵的容器在 DNS 查詢中將資料進行編碼，最終透過名稱伺服器取得解碼的資料。

    Docker Desktop 一律會在 RFC 1918 位址上執行內部解析器，因此不會受到影響。

    Moby 26.0.0、25.0.4 和 23.0.11 版已經過修補，可避免從內部網路轉送 DNS 要求。您可以改為使用自訂上游位址執行預定單獨附加至內部網路的容器，這會強制從容器的網路命名空間解析所有上游 DNS 查詢 (CVE-2024-29018)。

    AWS 已註意到 CVE-2024-41110，這是 Amazon Linux 的 docker 套件中會影響 Moby 開放原始碼專案的問題。Docker 是包含數個開放原始碼容器管理系統的元件。

    此問題不會影響 docker 伺服器的預設設定。如果啟用了授權外掛程式，則針對 docker 程序特製的 API 要求將被轉送至授權外掛程式，其轉送方式可能導致權限提升等非預期動作。啟用授權外掛程式是非典型設定。在預設、典型或建議的設定中，受影響的 API 端點不會洩漏給網路。預設的 EKS 和 ECS 設定不會將 API 端點洩漏給網路。使用 ECS 時，不支援啟用 docker 授權外掛程式。最後，docker 未安裝在比 1.24 新的 EKS AMI 上。雖然 docker 已安裝在 EKS 1.24 和更舊版本中，但 EKS 不支援授權外掛程式。

    為解決問題而更新的 docker 套件適用於 Amazon Linux 2 (docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1) 和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建議使用 docker 的客戶升級至這些版本或更新版本。(CVE-2024-41110)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Moby 是 Docker 所建立的開放原始碼專案用於軟體容器化。在某些 Docker Engine 版本中偵測到一個安全性弱點，此弱點允許攻擊者在特定情況下繞過授權外掛程式 (AuthZ)。此弱點遭到利用的基本可能性很低。如果使用特製的 API 要求，Engine API 用戶端可讓程序將要求或回應轉送至沒有內文的授權外掛程式。在某些情況下，授權外掛程式可能會允許在將內文轉送至其時本會拒絕的要求。在 2018 年發現一個安全性問題，攻擊者可利用特製的 API 要求來繞過 AuthZ Plugin，這可導致未經授權的動作，包括特權提升。雖然此問題已於 2019 年 1 月在 Docker Engine v18.09.1 中修正，但此修正並未移轉至之後的主要版本，進而導致回歸。所有依賴可自我檢查要求和/或回應內文以做出存取控制決策的授權外掛程式使用者都可能會受到影響。Docker EE v19.03.x 和所有版本的 Mirantis Container Runtime 皆不會受到影響。 docker-ce v27.1.1 包含可修正該弱點的修補程式。修補程式也已合併至主要版本、19.03、20.0、23.0、24.0、25.0、26.0 和 26.1 版本分支。如果使用者無法立即升級請避免使用 AuthZ 外掛程式和/或遵循最小權限原則將 Docker API 的存取權限制為受信任方。
    (CVE-2024-41110)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS 主機上安裝的一個套件受到 USN-7161-2 公告中所提及的多個弱點影響。

    USN-7161-1 修復了 Ubuntu 24.04 LTS 中的 CVE-2024-29018。此更新修復了

    Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 24.10 和 Ubuntu 24.04 LTS 中的此弱點。

    USN-7161-1 修復了 Ubuntu 24.10 和 Ubuntu 24.04 LTS 中的 CVE-2024-41110，

    以及 Ubuntu 18.04 LTS 中的此問題。此更新可修復 Ubuntu 20.04 LTS 和

    Ubuntu 22.04 LTS 中的問題。



Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
208930	Debian dla-3918：docker-doc - 安全性更新	Nessus	Debian Local Security Checks	2024/10/13	2025/1/22	critical
206635	Amazon Linux 2：docker (ALASECS-2024-042)	Nessus	Amazon Linux Local Security Checks	2024/9/5	2025/3/13	critical
206817	Amazon Linux 2023：amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
204929	Amazon Linux 2：docker (ALASNITRO-ENCLAVES-2024-041)	Nessus	Amazon Linux Local Security Checks	2024/7/31	2025/4/10	high
215522	Azure Linux 3.0 安全性更新moby-engine (CVE-2024-41110)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/2/10	critical
206820	Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
213083	Ubuntu 18.04 LTS / 24.04 LTS：Docker 弱點 (USN-7161-1)	Nessus	Ubuntu Local Security Checks	2024/12/17	2025/4/10	high
204784	Docker Engine < 23.0.15 / < 25.0.6 / 26.x < 26.1.5 / 27.x < 27.1.1 驗證繞過	Nessus	Misc.	2024/7/26	2025/3/13	critical
204943	Amazon Linux 2：docker (ALASDOCKER-2024-040)	Nessus	Amazon Linux Local Security Checks	2024/8/1	2025/4/10	high
204957	Amazon Linux 2023：docker (ALAS2023-2024-674)	Nessus	Amazon Linux Local Security Checks	2024/8/1	2025/4/10	high
248901	Linux Distros 未修補的弱點：CVE-2024-41110	Nessus	Misc.	2025/8/12	2025/8/12	critical
216408	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS：Docker 弱點 (USN-7161-2)	Nessus	Ubuntu Local Security Checks	2025/2/18	2025/5/13	high

偵測

搜尋 Plugin

critical

critical

medium

high

critical

medium

high

critical

high

high

critical

high