یک آسیب‌پذیری بحرانی با شناسه‌ی CVE-2024-41110 و شدت CVSS:10 در Docker Engine کشف شده است که به مهاجمان اجازه می‌دهد از فرآیند احراز هویت عبور کنند و دسترسی غیرمجاز به سیستم‌ها پیدا کنند. این مشکل، ناشی از یک بازگشت (Regression) در سیستم پلاگین احراز‌هویت Docker بنام AuthZ است. یعنی تغییرات جدیدی که در سیستم احراز هویت اعمال گردیده، باعث شده است یک نقص جدید به وجود بیاید که امکان عبور از احراز هویت بدون بررسی صحیح فراهم شود. به دلیل نقص در سیستم احراز هویت، پلاگین ممکن است درخواست‌هایی را به اشتباه تایید کند که باید رد می‌شدند و می‌تواند باعث اقدامات غیرمجاز شود و امکان افزایش سطح دسترسی به اطلاعات حساس یا قابلیت‌های مدیریتی را فراهم کند.
نسخه‌های خاصی از Docker Engine و Docker Desktop تحت تاثیر آسیب‌پذیری ذکر شده قرار دارند. اگر این آسیب‌پذیری در محیط‌های تولیدی که Docker Engine برای مدیریت و راه‌اندازی کانتینرها استفاده می‌شود، به کار رود می‌تواند عواقب جدی و بزرگی داشته باشد.
محصولات تحت تأثیر
- Docker Desktop: نسخه v4.32.0 و نسخه‌های قبل از آن
- Docker Engine: نسخه‌های v19.03.15- v20.10.27 - v23.0.14 - v24.0.9 - v25.0.5 - v26.0.2 - v26.1.4 - v27.0.3 - v27.1.0 و تمام نسخه‌های قبل از آن‌ها
توصیه‌های امنیتی
- بروزرسانی Docker Engineبه نسخه‌های بالاتر از v23.0.14 و v27.1.0
- بروزرسانی Docker Desktop به نسخه v4.33
- اگر نمی‌توان بلافاصله Docker را بروزرسانی نمود توصیه می‌شود به صورت موقت پلاگین‌های احراز هویت (AuthZ) غیرفعال گردد و دسترسی به Docker API محدود شود.
- به مدیران فناوری اطلاعات سازمان‌ها توصیه می‌شود از اصل کمترین امتیاز پیروی نمایند و دسترسی به Docker API را فقط به افرادی یا سیستم‌هایی بدهند که واقعا به آن نیاز دارند و به آن‌ها اعتماد دارند.
- اگر سازمانی از خدمات Docker Business استفاده می‌نماید، توصیه می‌شود از ابزار Settings Management استفاده کرده تا تنظیمات امنیتی را به طور یکسان در کل سازمان خود اعمال کند.
منبع خبر:
https://cybersecuritynews.com/critical-docker-vulnerability-bypass-authentication/
- 204