但为何已修补的漏洞程式码发生没有延续到后来的版本情况?Docker并未进一步说明。
究竟这项漏洞会造成什么样的危险?该公司表示,攻击者可发送特制的API请求,将Content-Length设置为0,导致Docker的Daemon程式将没有内容的请求转送到AuthZ,该外挂程式无法正常进行验证,而有可能直接核准身分验证请求。
不过,他们也提及并非所有使用者都会受到影响。未采用AuthZ进行存取控制,或是导入Mirantis Container Runtime(MCR)、企业版Docker的用户,都不会受到上述弱点影响。换言之,若是无法即时更新Docker引擎的用户,暂停使用AuthZ,并限缩API的存取权限,也能缓解这项漏洞带来的危险。
该公司也提及,这项漏洞可能影响Docker桌面版本4.32.0,原因是内含存在漏洞的Docker引擎,他们将会发布4.33更新进行修补,但也提及影响较为有限的情况。
因为,利用漏洞必须存取API,换言之,攻击者必须能够掌握Docker主机的本机存取权限,或是遇到Daemon不慎透过TCP曝露在外的组态设置状况。
再者,预设的桌面版Docker组态并未包含AuthZ,此外,权限提升仅局限于Docker的虚拟机器,而非主机的底层。