ADVERTENCIA: PLUGIN AUTHZ BYPASS EN DOCKER ENGINE, CVE-2024-41110 ¡PARCHE INMEDIATAMENTE!

CVE-2024-41110: omisión del complemento AuthZ de Docker Engine y aumento de privilegios (versión crítica de la versión 9.9)

Una regresión en las versiones v19.03.x y posteriores de Docker Engine ha vuelto a introducir una vulnerabilidad que se había corregido inicialmente en la versión v18.09.1. Esta vulnerabilidad permite a un atacante eludir los complementos de AuthZ mediante una solicitud de API especialmente diseñada en la que Content-Length está configurado en 0. Esto hace que el demonio de Docker reenvíe la solicitud sin su cuerpo al complemento de AuthZ, lo que puede provocar acciones no autorizadas y una escalada de privilegios.

Versiones afectadas:

Versiones parcheadas: > v23.0.14, > v27.1.0

No afectado: Los usuarios de Docker Engine v19.03.x y versiones posteriores que no dependen de complementos de autorización para tomar decisiones de control de acceso y los usuarios de todas las versiones de Mirantis Container Runtime no son vulnerables. Tampoco se ven afectados los usuarios de productos comerciales de Docker y de infraestructura interna que no dependen de complementos de AuthZ.

Impacto en Docker Desktop:

Docker Desktop hasta la versión 4.32.0 incluye las versiones de Docker Engine afectadas, pero el impacto es limitado en comparación con los entornos de producción.

Dado que la explotación requiere acceso a la API de Docker, esto generalmente significa que el atacante necesita acceso local a la máquina host, a menos que el demonio de Docker esté expuesto a través de TCP. Además, las configuraciones predeterminadas no incluyen complementos de AuthZ. Y la escalada de privilegios se limita a la máquina virtual de Docker Desktop, no al host subyacente.

Sin embargo, se incluirá una versión parcheada de Docker Engine en Docker Desktop v4.33 y le recomendamos que la actualice cuando sea posible.