Docker符号链接条件竞争误差清静通告

宣布时间 2019-06-03

误差编号和级别


CVE编号：CVE-2018-15664 ，危险级别：高级 ，CVSS分值：8.7


受影响的版本


Docker 18.06.1-ce-rc2及之前版本


误差概述


Docker是美国Docker公司的一款开源的应用容器引擎。该产品支持在Linux系统上建设一个容器（轻量级虚拟机）并安排和运行应用程序 ，以及通过设置文件实现应用程序的自动化装置、安排和升级。


Docker 18.06.1-ce-rc2及之前版本中的API端点保存符号链接条件竞争误差。该误差源于网络系统或产品未能准确地过滤资源或文件路径中的特殊元素� ？稍市砉セ髡咴谥付ǖ某绦蚨宰试淳傩胁僮髦靶薷淖试绰肪� ，从而可能获得恣意文件的读写会见权限 ，这被称为TOCTOU类型的bug。该误差的焦点源于FollowSymlinkInScope功效易受TOCTOU攻击。


误差验证


误差POC：https://seclists.org/oss-sec/2019/q2/131。


修复建议


现在厂商暂未宣布修复步伐解决此清静问题 ，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决步伐：https://www.docker.com/ 。


参考链接


https://seclists.org/oss-sec/2019/q2/131