Redazione RHC : 27 Luglio 2024 11:37
Gli sviluppatori Docker hanno rilasciato un aggiornamento per correggere una vulnerabilità critica in alcune versioni del Docker Engine. La vulnerabilità consente agli aggressori di aggirare i plugin di autorizzazione (AuthZ) se vengono soddisfatte determinate condizioni.
Il problema è stato inizialmente scoperto e risolto nel Docker Engine 18.09.1, rilasciato a gennaio 2019. Tuttavia, per un motivo sconosciuto, questa correzione non è stata trasferita alle versioni successive, provocando la ricomparsa della vulnerabilità.
Questo problema è stato notato nuovamente solo nell’aprile 2024. Di conseguenza, questa settimana sono state rilasciate nuovamente le patch per tutte le versioni supportate di Docker Engine.
 Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico. Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale. Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Gli aggressori hanno quindi avuto cinque anni per sfruttare questo bug, anche se non è noto con certezza se la vulnerabilità sia stata effettivamente utilizzata per attaccare e ottenere accesso non autorizzato alle istanze Docker.
La vulnerabilità viene ora tracciata con l’identificatore CVE-2024-41110 ed è valutata con un massimo di 10 punti sulla scala CVSS. Il problema consente a un utente malintenzionato di inviare una richiesta API appositamente predisposta con una lunghezza del contenuto pari a 0 per indurre il demone Docker a inoltrarla al plug-in AuthZ.
Poiché con una lunghezza del contenuto pari a 0, il plug-in AuthZ non può eseguire una validazione adeguata, ciò rischia di approvare richieste di azioni non autorizzate, inclusa l’escalation dei privilegi.
Il CVE-2024-41110 influisce sulle versioni di Docker Engine precedenti al 19.03.15, 20.10.27, 23.0.14, 24.0.9, 25.0.5, 26.0.2, 26.1.4, 27.0.3 e 27.1.0 e sugli utenti che utilizzano plug-in autorizzazione per il controllo degli accessi.
Non è stato confermato che gli utenti che non utilizzano tali plugin, così come gli utenti di Mirantis Container Runtime e dei prodotti Docker commerciali, siano vulnerabili a CVE-2024-41110, indipendentemente dalla versione.
Si consiglia a chiunque sia interessato da questo bug di eseguire l’aggiornamento alle versioni 23.0.14 e 27.1.0 il prima possibile, dove il problema sarà risolto.
È stato inoltre riferito che l’ultima versione di Docker Desktop (4.32.0) è dotata anche di una versione vulnerabile del Docker Engine, ma l’impatto del problema è limitato poiché è necessario l’accesso all’API Docker per lo sfruttamento e l’eventuale escalation dei privilegi è limitato alla macchina virtuale. Si prevede che la prossima versione di Docker Desktop (4.33.0) risolva questo problema.
RedazioneMolti di noi sono cresciuti con Hiroshi Shiba, di Jeeg robot d’acciaio che parlava con il defunto padre, il Professor Senjiro Shiba, scienziato e archeologo all’interno di un grande elaboratore. I...
Il traffico globale, come sanno i lettori di RHC, viaggia per la maggior parte sotto il mare. Secondo TeleGeography, istituto specializzato nelle telecomunicazioni, nel mondo sono attivi più di 530 s...
Un’analisi condotta negli ultimi mesi aveva evidenziato come l’evoluzione dei sistemi di intelligenza artificiale stesse raggiungendo un punto critico per la sicurezza informatica, con capacità r...
Gli aggressori stanno attivamente sfruttando una falla critica nel sistema di protezione delle applicazioni web FortiWeb (WAF) prodotto da Fortinet, che potrebbe essere utilizzata come mezzo per condu...
Su uno dei più noti forum russi per la compravendita di vulnerabilità e strumenti offensivi, il thread è arrivato come una normale inserzione commerciale, ma il contenuto è tutt’altro che banale...
