17 декабря 2014
Внеочередное обновление системы управления контейнерной виртуализацией Docker
Внеочередное обновление системы управления контейнерной виртуализацией Docker вызвано обнаружением двух уязвимостей, получивших статус критических. Обнаруженные ошибки позволяют злоумышленнику получить доступ к файловой системе хост-машины вне контейнера.
Первая позволяет злоумышленнику переместить файлы из контейнера в файловую систему хост-машины, используя команды docker pull или docker load. Уязвимость обусловлена ошибкой обработки ссылок в программе извлечения данных из образа контейнера. Это позволяет выполнить в хост-системе произвольный код и изменить собственные права доступа. Уязвимости присвоен идентификатор CVE-2014-6407. Ошибка содержится во всех младших версиях Docker, поэтому обновление является обязательным.
Вторая ошибка позволяет злоумышленнику выйти за его пределы, так как позволяет игнорировать ограничения, заданные для изолированного контейнера. Ошибка позволяет пользователю присвоить образу произвольные параметры и изменить общий профиль безопасности для всех контейнеров, использующих аналогичный образ. Уязвимости присвоен идентификатор CVE-2014-6408. Ошибка содержится в выпусках 1.3.0 и 1.3.1. и обновление для них является обязательным.
