Amazon Linux AMI：docker（ALAS-2014-454）

high Nessus プラグイン ID 79562

Language:

概要

リモート Amazon Linux AMI ホストに、セキュリティ更新がありません。

説明

Docker バージョン 1.3.0 ～ 1.3.1 では、セキュリティオプションの、イメージへの適用が可能でした。これは、イメージが、これらのイメージを実行しているコンテナのデフォルト実行プロファイルを変更できるようになります。この脆弱性により、悪意のあるイメージ作成者が、コンテナのプロセスに適用されている制限を緩め、ブレイクアウトを実行する可能性があります。
（CVE-2014-6408）

最大 1.3.1 までのバージョンの Docker エンジンは、「docker pull」および「docker load」操作中に、任意のパスにファイルを抽出することに脆弱性でした。これは、Docker のイメージ抽出に存在するシンボリックリンクおよびハードリンクのトラバーサルによって引き起こされます。この脆弱性は、リモートコード実行や権限昇格を行うために利用される可能性があります。（CVE-2014-6407）