Docker资源治理谬误缝隙风险公告

颁布功夫 2019-12-24

缝隙编号和级别


CVE编号：CVE-2019-17150，，危险级别：高危，，CVSS分值：厂商自评：7.8，，官方未评定


影响版本


Docker < 0.6.3


缝隙概述


Docker是美国Docker公司的一款开源的利用容器引擎。该产品支持在Linux系统上创建一个容器（轻量级虚构机）并部署和运行利用法式，，以及通过配置文件实现利用法式的自动扮装置、、、部署和升级。


Docker中的docker-credential-secretservice存在资源治理谬误缝隙，，该缝隙源于法式在对对象进行开释操作之前，，没有查抄该对象是否存在。攻击者可利用该缝隙提升权限并执行代码。


缝隙验证


暂无POC/EXP。


修复建议


目前厂商已颁布升级补丁以修复缝隙，，详情请关注厂商主页：

https://www.docker.com/。


参考链接


https://www.zerodayinitiative.com/advisories/ZDI-19-1030/