リモートの Oracle Linux 7 ホストに、ELSA-2019-4680 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - 18.06.1-ce-rc2 までの Docker では、「docker cp」コマンドの背後にある API エンドポイントは、ディレクトリトラバーサルによるシンボリックリンク交換攻撃に対して脆弱です。これにより、daemon/archive.go がフリーズしたファイルシステムで (または chroot 内から) アーカイブ操作を行わないため、ホストファイルシステムへの任意の読み書きアクセスがルート権限付きで攻撃者に付与されます。(CVE-2018-15664)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存していることに注意してください。

検出

Oracle Linux 7: docker-engine（ELSA-2019-4680）

high Nessus プラグイン ID 125938

バージョン 1.5