CVE-2016-8867
WysokieStreszczenie
Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do wrażliwych danych przechowywanych w kontenerach, co może prowadzić do wycieku informacji lub naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Docker Engine do najnowszej wersji oraz przegląd i poprawę polityk zdolności, aby zminimalizować ryzyko związane z nieautoryzowanym dostępem.
Inne podatności w Docker Engine 1.12.2
Zobacz wszystkie- CVE-2025-54388Średnie
W wersjach Docker Engine 28.2.0 do 28.3.2 przeładowanie usługi firewalld usuwa wszystkie reguły iptables, w tym te utworzone przez Docker. Wersje przed 28.3.3 nie odtwarzają reguł blokujących zewnętrzny dostęp do kontenerów, przez co kontenery z portami opublikowanymi na localhost stają się dostępne z maszyn zdalnych mających routing do mostka Docker. Problem naprawiono w wersji 28.3.3.
- CVE-2015-3630Wysokie
Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.
- CVE-2026-92543Wysokie
Podatność w Docker Engine dotycząca błędnej klasyfikacji rejestru jako niezabezpieczonego. Funkcja loadInsecureRegistries() domyślnie dodaje 127.0.0.0/8 i ::1/128 jako niezabezpieczone CIDR, a isCIDRMatch zwraca true, jeśli jakikolwiek adres hosta pasuje do tych zakresów. Atakujący może wykorzystać odpowiedź DNS zawierającą adres loopback i adres atakującego, co prowadzi do wyłączenia weryfikacji certyfikatów i umożliwienia połączenia przez HTTP.
Oryginalny opis (angielski, źródło NVD)
Docker Engine 1.12.2 enabled ambient capabilities with misconfigured capability policies. This allowed malicious images to bypass user permissions to access files within the container filesystem or mounted volumes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS