25 de julio de 2024Sala de prensaSeguridad de contenedores / Vulnerabilidad Docker advierte sobre una falla crítica que afecta a ciertas versiones de Docker Engine que podría permitir a un atacante eludir los complementos de autorización (AuthZ) en circunstancias específicas. Identificada como CVE-2024-41110, la vulnerabilidad de derivación y escalada de privilegios tiene una puntuación CVSS de 10.0, lo que indica la máxima gravedad. «Un atacante podría explotar una derivación utilizando una solicitud de API con Content-Length establecido en 0, lo que hace que el demonio de Docker reenvíe la solicitud sin el cuerpo al complemento AuthZ, que podría aprobar la solicitud incorrectamente», dijeron los mantenedores del Proyecto Moby en un aviso. Docker dijo que el problema es una regresión en el sentido de que el problema se descubrió originalmente en 2018 y se solucionó en Docker Engine v18.09.1 ​​en enero de 2019, pero nunca se trasladó a las versiones posteriores (19.03 y posteriores). El problema se ha resuelto en las versiones 23.0.14 y 27.1.0 a partir del 23 de julio de 2024, después de que se identificara el problema en abril de 2024. Las siguientes versiones de Docker Engine se ven afectadas asumiendo que se usa AuthZ para tomar decisiones de control de acceso: <= v19.03.15 <= v20.10.27 <= v23.0.14 <= ​​v24.0.9 <= v25.0.5 <= v26.0.2 <= v26.1.4 <= v27.0.3 y <= v27.1.0 "Los usuarios de Docker Engine v19.03.x y versiones posteriores que no dependen de complementos de autorización para tomar decisiones de control de acceso y los usuarios de todas las versiones de Mirantis Container Runtime no son vulnerables", dijo Gabriela Georgieva de Docker. "Los usuarios de productos comerciales de Docker y de infraestructura interna que no dependen de los complementos de AuthZ no se ven afectados". También afecta a Docker Desktop hasta la versión 4.32.0, aunque la empresa dijo que la probabilidad de explotación es limitada y requiere acceso a la API de Docker, lo que requiere que un atacante ya tenga acceso local al host. Se espera que se incluya una solución en una próxima versión (versión 4.33). "La configuración predeterminada de Docker Desktop no incluye complementos de AuthZ", señaló Georgieva. "La escalada de privilegios se limita a Docker Desktop [virtual machine]Aunque Docker no menciona que CVE-2024-41110 se esté explotando en la naturaleza, es esencial que los usuarios apliquen sus instalaciones a la última versión para mitigar las amenazas potenciales. A principios de este año, Docker se movió para parchar un conjunto de fallas llamadas Leaky Vessels que podrían permitir a un atacante obtener acceso no autorizado al sistema de archivos del host y escapar del contenedor. "A medida que los servicios en la nube aumentan en popularidad, también lo hace el uso de contenedores, que se han convertido en una parte integrada de la infraestructura en la nube", dijo Palo Alto Networks Unit 42 en un informe publicado la semana pasada. "Aunque los contenedores brindan muchas ventajas, también son susceptibles a técnicas de ataque como escapes de contenedores". "Al compartir el mismo núcleo y, a menudo, carecer de un aislamiento completo del modo de usuario del host, los contenedores son susceptibles a varias técnicas empleadas por los atacantes que buscan escapar de los confines de un entorno de contenedores". ¿Le resultó interesante este artículo? Síganos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.