Gli sviluppatori Docker hanno rilasciato un aggiornamento per correggere una vulnerabilità critica in alcune versioni del Docker Engine. La vulnerabilità consente agli aggressori di aggirare i plugin di autorizzazione (AuthZ) se vengono soddisfatte determinate condizioni.
Il problema è stato inizialmente scoperto e risolto nel Docker Engine 18.09.1, rilasciato a gennaio 2019. Tuttavia, per un motivo sconosciuto, questa correzione non è stata trasferita alle versioni successive, provocando la ricomparsa della vulnerabilità.
Questo problema è stato notato nuovamente solo nell’aprile 2024. Di conseguenza, questa settimana sono state rilasciate nuovamente le patch per tutte le versioni supportate di Docker Engine.
Gli aggressori hanno quindi avuto cinque anni per sfruttare questo bug, anche se non è noto con certezza se la vulnerabilità sia stata effettivamente utilizzata per attaccare e ottenere accesso non autorizzato alle istanze Docker.
La vulnerabilità viene ora tracciata con l’identificatore CVE-2024-41110 ed è valutata con un massimo di 10 punti sulla scala CVSS. Il problema consente a un utente malintenzionato di inviare una richiesta API appositamente predisposta con una lunghezza del contenuto pari a 0 per indurre il demone Docker a inoltrarla al plug-in AuthZ.
Poiché con una lunghezza del contenuto pari a 0, il plug-in AuthZ non può eseguire una validazione adeguata, ciò rischia di approvare richieste di azioni non autorizzate, inclusa l’escalation dei privilegi.
Il CVE-2024-41110 influisce sulle versioni di Docker Engine precedenti al 19.03.15, 20.10.27, 23.0.14, 24.0.9, 25.0.5, 26.0.2, 26.1.4, 27.0.3 e 27.1.0 e sugli utenti che utilizzano plug-in autorizzazione per il controllo degli accessi.
Non è stato confermato che gli utenti che non utilizzano tali plugin, così come gli utenti di Mirantis Container Runtime e dei prodotti Docker commerciali, siano vulnerabili a CVE-2024-41110, indipendentemente dalla versione.
Si consiglia a chiunque sia interessato da questo bug di eseguire l’aggiornamento alle versioni 23.0.14 e 27.1.0 il prima possibile, dove il problema sarà risolto.
È stato inoltre riferito che l’ultima versione di Docker Desktop (4.32.0) è dotata anche di una versione vulnerabile del Docker Engine, ma l’impatto del problema è limitato poiché è necessario l’accesso all’API Docker per lo sfruttamento e l’eventuale escalation dei privilegi è limitato alla macchina virtuale. Si prevede che la prossima versione di Docker Desktop (4.33.0) risolva questo problema.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Innovazione
Cybercrime
Cybercrime
Cybercrime
Diritti