Docker资源治理谬误缝隙风险公告

颁布功夫 2019-12-24

缝隙编号和级别


CVE编号：CVE-2019-17150 ，危险级别：高危 ，CVSS分值：厂商自评：7.8 ，官方未评定


影响版本


Docker < 0.6.3


缝隙概述


Docker是美国Docker公司的一款开源的利用容器引擎 。该产品支持在Linux系统上创建一个容器（轻量级虚构机）并部署和运行利用法式 ，以及通过配置文件实现利用法式的自动扮装置、部署和升级 。


Docker中的docker-credential-secretservice存在资源治理谬误缝隙 ，该缝隙源于法式在对对象进行开释操作之前 ，没有查抄该对象是否存在 。攻击者可利用该缝隙提升权限并执行代码 。


缝隙验证


暂无POC/EXP 。


建复建议


目前厂商已颁布升级补丁以建复缝隙 ，详情请关注厂商主页：

https://www.docker.com/ 。


参考链接


https://www.zerodayinitiative.com/advisories/ZDI-19-1030/