В Docker 1.3.2 исправили две критические уязвимости

В понедельник, 24 ноября этого года, состоялся выход срочного обновления 1.3.2 для системы управления визуализации контейнеров Docker. В нем были исправлены две критические уязвимости, позволяющие злоумышленнику выйти за пределы контейнера и получить доступ к файловой системе хост-машины.

Первая уязвимость, которой был присвоен идентификатор CVE-2014-6407, позволяет извлекать файлы из контейнера в произвольную часть файловой системы хост-машины при исполнении команд docker load или docker pull. Она вызвана ошибкой в обработке символических и жестких ссылок в движке Docker. Брешь можно эксплуатировать для повышения уровня привилегий.

Второй уязвимости был присвоен идентификатор CVE-2014-6408. Она позволяет создателю образа обойти ограничения для выполнения изолированного контейнера и выйти за его пределы. Это связано с тем, что создатель может присваивать образам собственные параметры безопасности. В результате злоумышленник мог модифицировать профиль безопасности по умолчанию для контейнеров на основе подобных образов.

Вместе с этим администраторы получили возможность игнорировать ряд адресов, форматированных с помощью CIDR, при использовании параметра –insecure-registry. Это связано с исправлением уязвимости CVE-2014-5277 в предыдущем обновлении 1.3.1.

Ознакомиться с описанием уязвимостей можно по адресу:  securitylab.ru/vulnerability/462346.php