Podatności Docker Engine

W wersjach Docker Engine 28.2.0 do 28.3.2 przeładowanie usługi firewalld usuwa wszystkie reguły iptables, w tym te utworzone przez Docker. Wersje przed 28.3.3 nie odtwarzają reguł blokujących zewnętrzny dostęp do kontenerów, przez co kontenery z portami opublikowanymi na localhost stają się dostępne z maszyn zdalnych mających routing do mostka Docker. Problem naprawiono w wersji 28.3.3.

Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.

Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.

Podatność w Docker Engine dotycząca błędnej klasyfikacji rejestru jako niezabezpieczonego. Funkcja loadInsecureRegistries() domyślnie dodaje 127.0.0.0/8 i ::1/128 jako niezabezpieczone CIDR, a isCIDRMatch zwraca true, jeśli jakikolwiek adres hosta pasuje do tych zakresów. Atakujący może wykorzystać odpowiedź DNS zawierającą adres loopback i adres atakującego, co prowadzi do wyłączenia weryfikacji certyfikatów i umożliwienia połączenia przez HTTP.