この docker バージョンの更新では、次のセキュリティ問題とセキュリティ以外の問題が修正されており、追加機能が導入されています。

- 1.4.0 に更新しました（2014-12-11）：

- 1.3.0 以降の重要な機能：

- key=value ラベルをデーモンに設定し（「docker info」で表示されている）、新しい「-label」デーモンフラグで適用

- 以下の形式の Dockerfile の「ENV」のサポートを追加：「ENV name=value name2=value2...」

- 新しい Overlayfs ストレージドライバー

- 「docker info」が「ID」と「Name」フィールドを返すようになりました

- イベント名、コンテナ、またはイメージでイベントをフィルター処理します

- 「docker cp」が、コンテナボリュームからのコピーをサポートするようになりました

- 「docker tag」を修正しました。これにより、既存のイメージに対するタグを上書きする際に「--force」を遵守します。

- 1.3.3 によってもたらされた変更（2014-12-11）：

- セキュリティ：

- 絶対シンボリックリンクの処理におけるパストラバーサルの脆弱性を修正（CVE-2014-9356） - （bnc#909709）

- xz イメージアーカイブの展開を修正し、権限昇格を回避（CVE-2014-9357） - （bnc#909710）

- イメージ ID を検証（CVE-2014-9358） - （bnc#909712）

- ランタイム：

- イメージアーカイブがゆっくり読み取られているときの問題を修正

- クライアント：

- stdin リダイレクションに関連した回帰を修正

- 対象先が現在のディレクトリである場合の「docker cp」の回帰を修正

絶対シンボリックリンクの処理でパストラバーサル攻撃の可能性があります。トラバーサルに対するシンボリックリンクのチェックで、相対リンクだけが考慮されていました。このため、本来は防止されているべき場所で、パストラバーサルが存在する可能性があります。これは、アーカイブ抽出を介して、またボリュームマウントを通じて悪用可能です。この脆弱性のために、悪意のある Dockerfiles からの悪意のあるイメージまたはビルドがホストシステムにファイルを書き込み、コンテナ化をエスケープし、また権限昇格につながる可能性があります。（CVE-2014-9356）

Docker 1.3.2 のアーカイブ抽出のための chroot の導入により、権限昇格の脆弱性が導入されたことが判明しました。悪意のある Dockerfiles からの悪意のあるイメージまたはビルドのために、悪意のある「xz」バイナリを提供することで権限昇格が行われ、Docker ホスト上の root ユーザーとして任意のコードを実行する可能性があります。（CVE-2014-9357）

「docker load」を介して、またはレジストリ通信を通して提供される場合、Docker が十分にイメージ ID を検証しないことが判明しました。このため、パストラバーサル攻撃が起こり、リポジトリなりすまし攻撃とともに、悪意のあるイメージによるグラフの破損および操作が行われる可能性があります。（CVE-2014-9358）

変更内容の説明：

[1.3.3-1.0.1]
- docker-pkg-devel の %files マクロに symlink/LICENSE.BSD および symlink/LICENSE.APACHE を追加します
- %package devel 内の docker-io-pkg-devel の要件の名前を docker-pkg-devel に変更します
- docker に名前を変更します
- Oracle Linux 6 の SysV init スクリプトを復元します

[1.3.3-1]
- ソースを https://github.com/docker/docker/releases/tag/v1.3.3 からの 1.3.3 に更新します 絶対シンボリックリンク処理時のパストラバーサル（CVE-2014-9356） LZMA（.xz）アーカイブ展開時の権限昇格（CVE-2014-9357） 画像識別子に起因するパストラバーサルおよびなりすましの可能性（CVE-2014-9358）

dcoker レポジトリ内でテストを実行すると、untifile が、/etc/sysconfig/docker-network を使用できるようになります。CVE-2014-9357、CVE-2014-9358、CVE-2014-9356 のセキュリティ修正

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

2 つのセキュリティ問題といくつかのバグを修正し、様々な強化機能を追加する更新済みの docker パッケージが、Red Hat Enterprise Linux 7 Extras で現在利用可能です。

Red Hat 製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度低として評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Docker は、Linux 上でコンテナ管理を行うサービスです。

絶対シンボリックリンクを含めることにより、悪意のあるコンテナ画像がホストファイルシステムの任意の部分を上書きし、これにより権限昇格が引き起こされる可能性があることが判明しました。(CVE-2014-9356)

Docker サービスが「docker pull」後に画像またはビルドのアンパックを行う方法で欠陥が見つかりました。攻撃者がこの欠陥を利用し、悪意のある画像またはビルドを提供し、これらがアンパックされるとシステムの権限を昇格させる可能性があります。(CVE-2014-9357)

Red Hat は、これらの問題を報告してくれた Docker Inc. に感謝の意を表します。

docker-python サブパッケージは新しい Atomic ツールを提供します。Atomic の目的は、Red Hat Enterprise Linux Atomic Host に対して高レベルのわかりやすいエントリポイントを提供することです。Atomic によって、スーパー特権のあるデバッグツールなどの特別なタイプのコンテナとのやり取りが簡単になります。
包括的な情報とドキュメントが atomic のマニュアルページで利用可能です。

docker パッケージが Upstream バージョン 1.4.1 にアップグレードされ、以前のバージョンに対する多くのバグ修正と強化機能を提供します。主なものとして、実験的な overlayfs ストレージドライバーが挙げられます。（BZ#1174351）

バグ修正：

* コンテナと画像の JSON 構成ファイルが一致していませんでした。結果として、これらのファイルが「docker inspect」コマンドによって解析されると、出力が不必要に複雑になりました。この更新により、構成ファイルの主な命名スキーマが改善され、「docker inspect」からの出力は統一がとれたものになっています。（BZ#1092773）

* /run ディレクトリに不適切な SELinux ラベルがありました。結果として、コンテナが /run にアクセスできませんでした。この更新により SELinux ラベルが修正され、コンテナは /run にアクセスできるようになっています。（BZ#1100009）

* Docker サービスに、隠しディレクトリに対する不適切なパスがあります。結果として、「docker run」を実行しても、コンテナを作成できませんでした。この更新により、隠しディレクトリに対するデフォルトパスが修正され、「docker run」は正常に実行されるようになりました。（BZ#1102568）

* 全ての docker.io ファイルにアクセスできない場合、構成ファイルでデフォルトリポジトリを指定できませんでした。結果として、デフォルトリポジトリにアクセスできないため、docker コマンドの実行に失敗していました。現在は、ローカルの Docker リポジトリを指定できるようになり、ローカルプライベートリポジトリに接続できるため、コマンドが失敗することがなりました。
（BZ#1106430）

* シャットダウン中のコンテナで「docker attach」コマンドを実行すると、プロセスは失敗しませんが、応答不能になりました。このバグが修正され、シャットダウン中のコンテナで「docker attach」を実行すると、停止したコンテナにアタッチできないことを伝えるエラーメッセージが表示され、アタッチプロセスが失敗します。（BZ#1113608）

* 「docker run」サブコマンドが、本来は全て 0 であるべき場合に、0 以外の終了コードを不適切に返しました。結果として、docker コマンドラインの終了コードと、含まれるプロセスの終了コードの区別ができず、これにより「docker run」の自動コントロールが不可能になっていました。この更新は、「docker run」の終了コードにある非整合性を修正します。さらに、この更新は、他の docker サブコマンドの非整合性も修正し、エラーメッセージと警告メッセージの言い回しも改善します。
（BZ#1162807）

* 「--registry-prepend」オプションで新しいレジストリを追加すると、クエリと画像のダウンロードが正しい順番で実行されませんでした。結果として、先頭に追加された新しいレジストリのクエリを最初に行わず、docker.io のクエリから開始されていました。「--registry-prepend」オプションの名前が「--registry-add」に変更され、所定の順番で追加されたレジストリのクエリを行うように動作が変更されました。docker.io のクエリは最後に行われます。（BZ#1186153）

docker の全ユーザーは、これらの更新済みパッケージにアップグレードして、これらの問題を修正し、これらの強化機能を追加することが推奨されます。

docker バージョンのアップグレードでは、以下のセキュリティ問題とセキュリティ以外の問題が修正され、追加機能が導入されています：

- 1.4.1 に更新しました（2014/12/15）：

- ランタイム：

- volumes-from に関する問題を修正し、作成後に遵守されていないマウントをバインドします（bnc#913213 を修正）

- ランタイムの依存関係として e2fsprogs を追加しました。これは、devicemapper ドライバーを使用する場合に必要です。（bnc#913211）。

- docker.socket のオーナーとグループを修正（Andrei Dziahel 氏および https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=752555#5 に感謝いたします）

- 1.4.0 に更新しました（2014-12-11）：

- 1.3.0 以降の重要な機能：

- key=value ラベルをデーモンに設定し（「docker info」で表示されている）、新しい「-label」デーモンフラグで適用

- 以下の形式の Dockerfile の「ENV」のサポートを追加：「ENV name=value name2=value2...」

- 新しい Overlayfs ストレージドライバー

- 「docker info」が「ID」と「Name」フィールドを返すようになりました

- イベント名、コンテナ、またはイメージでイベントをフィルター処理します

- 「docker cp」が、コンテナボリュームからのコピーをサポートするようになりました

- 「docker tag」を修正しました。これにより、既存のイメージに対するタグを上書きする際に「--force」を遵守します。

- 1.3.3 によってもたらされた変更（2014-12-11）：

- セキュリティ：

- 絶対シンボリックリンクの処理におけるパストラバーサルの脆弱性を修正（CVE-2014-9356） - （bnc#909709）

- xz イメージアーカイブの展開を修正し、権限昇格を回避（CVE-2014-9357） - （bnc#909710）

- イメージ ID を検証（CVE-2014-9358） - （bnc#909712）

- ランタイム：

- イメージアーカイブがゆっくり読み取られているときの問題を修正

- クライアント：

- stdin リダイレクションに関連した回帰を修正

- 対象先が現在のディレクトリである場合の「docker cp」の回帰を修正

注意：Tenable Network Security は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

CVE-2014-9357、CVE-2014-9358、CVE-2014-9356 のセキュリティ修正 Upstream v1.3.2 リリースの使用に戻す 解決：rhbz#1169035、rhbz#1169151

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
80278	openSUSE セキュリティ更新：docker（openSUSE-SU-2014:1722-1）	Nessus	SuSE Local Security Checks	2014/12/29	2021/1/19	high
79875	Amazon Linux AMI：docker（ALAS-2014-461）	Nessus	Amazon Linux Local Security Checks	2014/12/15	2019/12/12	high
80329	Oracle Linux 6 / 7：docker（ELSA-2014-3110）	Nessus	Oracle Linux Local Security Checks	2015/1/2	2021/1/14	high
80981	Fedora 20：docker-io-1.4.1-6.fc20（2015-1128）	Nessus	Fedora Local Security Checks	2015/1/26	2021/1/11	critical
81640	RHEL 7：docker（RHSA-2015:0623）	Nessus	Red Hat Local Security Checks	2015/3/5	2019/12/12	high
83667	SUSE SLES12 セキュリティ更新： docker （SUSE-SU-2015：0082-1）	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/6	high
79954	Fedora 21：docker-io-1.4.0-1.fc21（2014-16839）	Nessus	Fedora Local Security Checks	2014/12/15	2021/1/11	critical

検出

プラグインの検索

high

high

high

critical

high

high

critical