Docker: Eski ayrıcalık yükseltme güvenlik açığı yeniden ortaya çıktı
Docker, Docker Engine'in çeşitli türlerini etkileyen bir güvenlik açığı konusunda uyarıyor. Saldırganların yetkilendirme eklentilerini atlamasına ve böylece ayrıcalık yükseltmesine olanak tanır.
Duyuru
19.03.15'ten 27.1.0 sürümüne kadar tüm Docker sürümleri etkilenir. Docker v23.0.14 sürümleri için güvenlik açıklarını kapatan yamalar mevcuttur.
Yetkilendirme eklentisindeki hakların genişletilmesi
Docker yetkilendirme eklentileri, Docker'ın doğası gereği hiçbir kısıtlaması olmadığından ve Docker arka plan programına erişim haklarına sahip kullanıcıların herhangi bir Docker komutunu yürütmesine izin verdiğinden, hakların ayrıntılı olarak atanmasını sağlamayı amaçlamaktadır.
Eklentilerin devreye girdiği yer burasıdır: Docker'ın kimlik doğrulama (AuthN) ve yetkilendirme (AuthZ) alt sistemi, kullanıcı ve yürütülecek komut hakkındaki verileri, komutun yürütülmesine izin verilip verilmeyeceğine karar veren ilişkili AuthZPlugins'e iletebilir.
Eski zayıflık çok geçmeden tekrar ortaya çıktı
2019'da 18.0.9 sürümü, içerik kontrolü eksikliği nedeniyle eklentiler aracılığıyla ayrıcalık artışına izin veren bir güvenlik açığını giderdi. Ancak bir sonraki ana sürüme geçilmesiyle birlikte Docker Engine'de güvenlik açığı yeniden ortaya çıktı. Regresyon, motorun 19.03 versiyonundan itibaren tekrarlandı.
Nisan 2024'te güvenlik açığının tekrarlandığını tespit eden Docker, 23 Temmuz'da 23.0.14 ile başlayan sürümler için yamalar yayınladı.
Mitre veritabanında, Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) girişi CVE-2024-41110, regresyon için kullanılabilir ancak yalnızca ayrılmış olarak işaretlenir.
Yamayı şimdi uygulayın ve Docker Masaüstünde bekleyin
Etkilenen sürümlerden birini kullanan herkes yamayı hemen uygulamalı veya AuthZ eklentilerini kullanmaktan kaçınmalıdır. Bunları kullanmayan kimse ilgilenmiyor.
Docker Masaüstü de güvenlik açığını içeriyor ancak Docker'a göre risk nispeten düşük çünkü saldırganların yazılımla birlikte iş istasyonuna erişmesi gerekiyor ve hakların yükseltilmesi Docker Masaüstü VM ile sınırlı. Ayrıca Docker Desktop, varsayılan olarak AuthZ eklentilerini içermez. Manuel olarak kurulmaları gerekir.
Docker Desktop 4.33'ün bir sonraki sürümü, Docker motorunun güvenlik açığı olmayan yamalı bir sürümünü içerecek. Daha fazla ayrıntıyı Docker blogunda bulabilirsiniz.
(kendim)