微信号:daocloudpublic

介绍:分享Docker及容器技术相关信息,助力开发者和企业云海扬帆!本公众号由DaoCloud负责运营.

关于 Docker 安全漏洞的声明公告

2019-05-31 19:43 DaoCloud

社区发现了一个 Docker 容器权限逃逸安全漏洞(编号:CVE-2018-15664),此漏洞严重等级为 8.7 分(总分 10 分),属于高危漏洞,其根因是 Docker 的 Chrootarchive 机制有漏洞。

漏洞介绍


在执行 Docker cp 命令,或调用对应 API 时,容器内的恶意脚本可以通过 TOCTOU (time-of-check to time-of-use),即撞击检查和运行代码中的间隙,替换符号链接到主机文件系统,可以在容器内拿到宿主机的 root 权限。当前漏洞触发需要同时满足容器镜像中包含恶意脚本并且调用 Docker cp 的 API 两个条件

漏洞影响


DaoCloud 安全团队在得知此安全漏洞后,迅速响应,对该安全漏洞进行了分析与确认。

DaoCloud Enterprise 对原生 Docker API 进行屏蔽,外界无法直接访问 Docker API 。 DaoCloud Enterprise 在大多数场景下,不会使用 Docker cp 命令,仅当对「运行中的容器进行上传/下载文件」操作时,会使用 Docker cp 命令。

DaoCloud Enterprise 将在后续提供 「安全文件上传/下载」的功能,通过产品升级来满足客户的生产环境要求,为客户提供详细的风险评估和全方位的安全保护。

DaoCloud 平台的安全设计


目前,Docker 官方没有发布解决版本的修复。社区正在积极地讨论,DaoCloud 对漏洞修复紧密跟踪和深度参与,随时向客户提供服务支持。

并且,DaoCloud 提供云原生安全平台(DaoCloud Security Suite,简称 DSS),为客户提供完整的运行时安全解决方案,实时漏洞扫描,实时容器进程/文件系统保护,保证真正第 7 层容器防火墙和应用全生命周期的自动化安全,全面满足企业云原生安全需求。

重视安全是企业的生命线


DaoCloud 始终重视企业系统平台安全,我们衷心感谢每一位客户对 DaoCloud 产品的信赖和支持,我们也将一如既往地提供最优质、最周到的服务支持。

目前,我们也收到许多用户关于此次安全漏洞及相关安全问题的咨询,他们或在使用开源产品,或在使用其他的商业平台产品;如果您也有任何容器相关的问题,欢迎随时通过服务热线、邮件、DaoVoice 等方式联系我们,我们期待与您的沟通。


联系方式

  • 服务热线 400-002-6898

  • 支持邮件 support@daocloud.io



DaoCloud 安全与支持中心

DaoCloud Security & Support Center

2019-05-31


参考:

https://bugzilla.suse.com/show_bug.cgi?id=1096726

https://www.openwall.com/lists/oss-security/2019/05/28/1

https://www.theregister.co.uk/2019/05/29/docker_race_condition/

https://duo.com/decipher/docker-bug-allows-root-access-to-host-file-system

https://github.com/moby/moby/pull/39292




DaoCloud 公司简介


上海道客网络科技有限公司,成立于 2014 年底,作为上海本土创新科技企业,公司以拥有自主知识产权的核心技术,以云计算、人工智能为底座构建数字化操作系统为实体经济赋能,推动传统企业完成数字化转型。成立迄今,公司已在金融科技、先进制造、智能汽车、零售网点、城市大脑等多个领域深耕,标杆客户包括上汽集团、浦发银行、东风汽车、海尔集团、金拱门(麦当劳)等。目前,公司已完成了 B 轮超亿元融资,被誉为科技领域准独角兽企业。公司在北京、武汉、深圳、成都设立多家分公司及合资公司,总员工人数超过 200 人,并始终严格依法纳税和足额缴纳社保,是上海市高新技术企业、上海市“专精特新”企业和杨浦区 2018 年的“科技小巨人”,并入选了科创板培育企业名单。


网址:www.daocloud.io

邮件:info@daocloud.io

电话:400 002 6898




 
道客船长 更多文章 劳动节 | 致敬每一个努力的人 DaoCloud 微服务治理平台使用的核心组件 SkyWalking 成为 Apache 精彩回顾 | 全球 Azure 训练营,DaoCloud 共享全球盛会 母亲节 | 致我们最爱的人 精彩回顾 | DaoCloud 助力 SkyWalking DevCon&nb
猜您喜欢 找痛点的正确姿势 --《用户故事地图》 年轻人生存与生活压力大数据报告 来一波技术公众号 淡泊生活 人生需要放下八样东西 致安全新人:2分钟视频告诉你学习能力是多么重要!