此 docker 版本更新可修正下列安全性和非安全性問題，並新增其他功能。

- 更新至 1.4.0 (2014-12-11)：

- 1.3.0 版後值得注意的功能：

- 在程序中設定 key=value 標籤 (顯示在「docker info」) 中，使用新的「-label」程序旗標套用

- 在 Dockerfile 中新增「ENV」支援，形式為：「ENV name=value name2=value2...」

- 全新的 Overlayfs 儲存驅動程式

-「docker info」現會傳回「ID」和「Name」欄位

- 依照事件名稱、容器或影像篩選事件

-「docker cp」現可支援容器磁碟區的複製

- 已修正「docker tag」，現在覆寫現有影像的標籤時，已可接受「--force」。

- 1.3.3 版加入的變更 (2014-12-11)：

- 安全性：

- 修正處理絕對符號連結時遇到的路徑遊走弱點 (CVE-2014-9356) - (bnc#909709)

- 修正 xz 影像封存解壓縮的問題，防止權限提升 (CVE-2014-9357) - (bnc#909710)

- 驗證影像 ID (CVE-2014-9358) - (bnc#909712)

- 運行時間：

- 修正影像封存讀取緩慢時會遇到的一個問題

- 用戶端：

- 修正與 stdin 重新導向有關的迴歸

- 修正當目的地為目前目錄時「docker cp」的迴歸。

在 docker repo 內執行測試可允許 unitfile 使用 /etc/sysconfig/docker-network CVE-2014-9357、CVE-2014-9358、CVE-2014-9356 的安全性修正

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

現已提供適用於 Red Hat Enterprise Linux 7 Extras 的更新版 docker 套件，可修正兩個安全性問題、數個錯誤，並新增多種增強功能。

Red Hat 產品安全性團隊已將此更新評等為具有低安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Docker 是一種在 Linux 上提供容器管理的服務。

據發現，惡意容器影像可加入絕對符號連結，進而覆寫主機檔案系統的任意部分，可能導致權限提升。(CVE-2014-9356)

Docker 服務在 'docker pull' 命令後解除封裝影像或版本的方式有一個瑕疵。攻擊者可利用此瑕疵提供惡意影像或版本，一旦其解除封裝，即可提升自己在系統上的權限。(CVE-2014-9357)

Red Hat 要感謝 Docker Inc. 報告這些問題。

Docker-python 子套件提供新的 Atomic 工具。Atomic 旨在為 Red Hat Enterprise Linux Atomic Host 提供高層級的連貫進入點。Atomic 有助於更容易與特殊類型的容器進行互動，例如：具有超級權限的除錯工具。
如需完整資訊和文件，請參閱 Atomic 手冊頁面。

docker 套件已升級至上游版本 1.4.1，相較於先前的版本，此版本提供多項錯誤修正和增強功能，最明顯的是實驗性 overlayfs 儲存驅動程式。(BZ#1174351)

錯誤修正：

* 容器和影像的 JSON 組態檔案不一致。因此，以 'docker inspect' 命令剖析這些檔案時，輸出會不必要地變複雜。此更新改善了組態檔案中的金鑰命名配置，'docker inspect' 的輸出現已統一。(BZ#1092773)

* /run 目錄有不正確的 SELinux 標籤。因此，容器不會存取 /run。此更新更正了 SELinux 標籤，容器現可存取 /run。(BZ#1100009)

* Docker 服務具有不正確的密碼目錄路徑。因此，執行「docker run」無法建立容器。此更新修正了密碼目錄的預設路徑，「docker run」現可成功執行。(BZ#1102568)

* 所有 docker.io 檔案都無法存取時，無法在類別的組態檔中指定預設的存放庫。由於無法連線到預設的存放庫，因此執行 docker 命令會失敗。現已可指定本機 Docker 存放庫，由於可連線到本機私人存放庫，因此命令不會再執行失敗。
(BZ#1106430)

* 在關機中的容器上執行 'docker attach' 命令時，處理程序不會失敗，但會變得無法回應。此錯誤已修正，在關機中的容器上執行 'docker attach' 會造成附加處理程序失敗，並且顯示詳細的錯誤訊息，表示其無法附加到停止的容器。(BZ#1113608)

* 'docker run' 子命令會不正確傳回非零結束代碼，但其應為零。因此，無法區分 docker 命令行的結束代碼和自主處理程序的結束代碼，而這會導致無法自動控制 'docker run'。此更新修正了 'docker run' 結束代碼內的不一致。此外，此更新還修正了其他 docker 子命令的不一致，並改善了錯誤和警告訊息中的文字。
(BZ#1162807)

* 使用「--registry-prepend」選項新增登錄檔的方式並未遵循正確的查詢和下載影像順序。因此無法先查詢前面附加的新登錄檔，而是從 docker.io 開始查詢。「--Registry-prepend」選項已重新命名為「--registry-add」，且其行為已變更為依照指定的順序查詢登錄檔，最後才查詢 docker.io。(BZ#1186153)

建議所有 docker 使用者皆升級至這些更新版套件，其可更正這些問題並新增這些增強功能。

處理絕對符號連結時可能發生路徑遊走攻擊。檢查符號連結是否遊走時，系統只會將相對連結納入考量。此允許存在路徑遊走情況，該行為原本應該遭到禁止。攻擊者可透過封存擷取和磁碟區掛載方式惡意利用此問題。此弱點允許惡意 Dockerfiles 的惡意影像或版本將檔案寫入主機系統並逸出容器化，進而導致權限提升。(CVE-2014-9356)

據發現，Docker 1.3.2 中引入的封存擷取 chroot 也會一併引入了權限提升弱點。惡意 Dockerfiles 的惡意影像或版本可提供惡意的「xz」二進位，造成權限提升並以 root 使用者身分在 Docker 主機上執行任意程式碼。(CVE-2014-9357)

據發現，Docker 未充分驗證透過「docker load」或登錄檔通訊提供的影像 ID。此瑕疵允許路徑遊走攻擊，進而導致圖形損毀或遭到惡意影像操控，以及存放庫偽造攻擊。(CVE-2014-9358)

變更描述：

[1.3.3-1.0.1]
- 針對 docker-pkg-devel 在 %files 巨集下新增 symlink/LICENSE.BSD 和 symlink/LICENSE.APACHE
- 將 %package devel 中的 docker-io-pkg-devel 要求重新命名為 docker-pkg-devel
- 重新命名為 docker
- 還原 Oracle Linux 6 的 SysV init 指令碼

[1.3.3-1]
- 從 https://github.com/docker/docker/releases/tag/v1.3.3 將來源更新至 1.3.3；處理絕對符號連結期間發生路徑遊走 (CVE-2014-9356) 解壓縮 LZMA (.xz) 封存期間發生權限提升 (CVE-2014-9357) 存在透過影像識別碼發生路徑遊走和偽造的風險 (CVE-2014-9358)

CVE-2014-9357、CVE-2014-9358、CVE-2014-9356 的安全性修正。還原為使用上游 v1.3.2 版本。解決：rhbz#1169035、rhbz#1169151

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

此 docker 版本升級可修正下列安全性和非安全性問題，且新增其他功能：

- 更新至 1.4.1 (2014/12/15)：

- 運行時間：

- 修正在建立後未接受之 volumes-from 和 bind 掛載的問題 (修正 bnc#913213)

- 新增 e2fsprogs 作為運行時間相依性，當使用 devicemapper 驅動程式時需要此項。(bnc#913211)。

- 修正 docker.socket 的擁有者和群組 (感謝 Andrei Dziahel 和 https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=752555 #5)

- 更新至 1.4.0 (2014-12-11)：

- 1.3.0 版後值得注意的功能：

- 在程序中設定 key=value 標籤 (顯示在「docker info」) 中，使用新的「-label」程序旗標套用

- 在 Dockerfile 中新增「ENV」支援，形式為：「ENV name=value name2=value2...」

- 全新的 Overlayfs 儲存驅動程式

-「docker info」現會傳回「ID」和「Name」欄位

- 依照事件名稱、容器或影像篩選事件

-「docker cp」現可支援容器磁碟區的複製

- 已修正「docker tag」，現在覆寫現有影像的標籤時，已可接受「--force」。

- 1.3.3 版加入的變更 (2014-12-11)：

- 安全性：

- 修正處理絕對符號連結時遇到的路徑遊走弱點 (CVE-2014-9356) - (bnc#909709)

- 修正 xz 影像封存解壓縮的問題，防止權限提升 (CVE-2014-9357) - (bnc#909710)

- 驗證影像 ID (CVE-2014-9358) - (bnc#909712)

- 運行時間：

- 修正影像封存讀取緩慢時會遇到的一個問題

- 用戶端：

- 修正與 stdin 重新導向有關的迴歸

- 修正當目的地為目前目錄時「docker cp」的迴歸。

請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

ID	名稱	產品	系列	已發布	已更新	嚴重性
80278	openSUSE 安全性更新：docker (openSUSE-SU-2014:1722-1)	Nessus	SuSE Local Security Checks	2014/12/29	2021/1/19	high
80981	Fedora 20 : docker-io-1.4.1-6.fc20 (2015-1128)	Nessus	Fedora Local Security Checks	2015/1/26	2021/1/11	critical
81640	RHEL 7：docker (RHSA-2015:0623)	Nessus	Red Hat Local Security Checks	2015/3/5	2019/12/12	high
79875	Amazon Linux AMI : docker (ALAS-2014-461)	Nessus	Amazon Linux Local Security Checks	2014/12/15	2019/12/12	high
80329	Oracle Linux 6 / 7 : docker (ELSA-2014-3110)	Nessus	Oracle Linux Local Security Checks	2015/1/2	2021/1/14	high
79954	Fedora 21 : docker-io-1.4.0-1.fc21 (2014-16839)	Nessus	Fedora Local Security Checks	2014/12/15	2021/1/11	critical
83667	SUSE SLES12 安全性更新：docker (SUSE-SU-2015:0082-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/6	high

偵測

搜尋 Plugin

high

critical

high

high

high

critical

high