Docker符号链接前提竞争缝隙安全公告

颁布功夫 2019-06-03

缝隙编号和级别


CVE编号：CVE-2018-15664，危险级别：高级，CVSS分值：8.7


受影响的版本


Docker 18.06.1-ce-rc2及之前版本


缝隙概述


Docker是美国Docker公司的一款开源的利用容器引擎。该产品支持在Linux系统上创建一个容器（轻量级虚构机）并部署和运行利用法式，以及通过配置文件实现利用法式的自动扮装置、部署和升级。


Docker 18.06.1-ce-rc2及之前版本中的API端点存在符号链接前提竞争缝隙。该缝隙源于网络系统或产品未能正确地过滤资源或文件蹊径中的特殊元素�？稍市砉セ髡咴谥付ǖ姆ㄊ蕉宰试唇胁僮髦芭淖试歹杈�，从而可能获得肆意文件的读写接见权限，这被称为TOCTOU类型的bug。该缝隙的主题源于FollowSymlinkInScope职能易受TOCTOU攻击。


缝隙验证


缝隙POC：https://seclists.org/oss-sec/2019/q2/131。


建复建议


目前厂商暂未颁布建复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决法子：https://www.docker.com/ 。


参考链接


https://seclists.org/oss-sec/2019/q2/131