阿里云漏洞库
高危漏洞
CVE 漏洞库
非CVE漏洞库
安全社区
搜索
NVD
操作系统
CVE-2024-24557
中危
Moby 经典构建器缓存中毒 (CVE-2024-24557)
CVE编号
CVE-2024-24557
利用情况
暂无
补丁情况
官方补丁
披露时间
2024-02-02
漏洞描述
Docker Moby是Docker创建的开源项目,用于实现软件容器化。经典构建器缓存系统存在缓存毒化漏洞,当镜像是从头构建时容易受到攻击。此外,对某些指令的更改(最重要的是HEALTHCHECK和ONBUILD)不会导致缓存失效。攻击者只需获知某人正在使用的Dockerfile,就能通过让其拉取经过特殊构造的镜像来毒化其缓存,而这个镜像会被认为是某些构建步骤的有效缓存候选项。23.0+用户只有在明确选择退出Buildkit(DOCKER_BUILDKIT=0环境变量)或使用/build API端点时才会受到影响。而在23.0之前的所有用户都可能受到影响。/build镜像构建API端点和来自github.com/docker/docker/client的ImageBuild函数也存在此问题,因为它们默认使用经典构建器。补丁已经包含在24.0.9和25.0.2版本中。
解决建议
"将组件 github.com/moby/moby 升级至 24.0.9 及以上版本"
"将组件 github.com/moby/moby 升级至 25.0.2 及以上版本"
参考链接
https://github.com/moby/moby/commit/3e230cfdcc989dc524882f6579f9e0dac77400ae
https://github.com/moby/moby/security/advisories/GHSA-xw73-rw38-6vjc
受影响软件情况
#
类型
厂商
产品
版本
影响面
1
运行在以下环境
应用
mobyproject
moby
*
Up to
(excluding)
24.0.9
运行在以下环境
应用
mobyproject
moby
*
From
(including)
25.0.0
Up to
(excluding)
25.0.2
运行在以下环境
系统
alpine_3.18
docker
*
Up to
(excluding)
25.0.2-r0
运行在以下环境
系统
alpine_3.19
docker
*
Up to
(excluding)
25.0.2-r0
阿里云评分
6.5
攻击路径
本地
攻击复杂度
困难
权限要求
普通权限
影响范围
有限影响
EXP成熟度
未验证
补丁情况
官方补丁
数据保密性
无影响
数据完整性
无影响
服务器危害
无影响
全网数量
N/A
CWE-ID
漏洞类型
CWE-345
对数据真实性的验证不充分
CWE-346
源验证错误
阿里云安全产品覆盖情况
云安全中心
WAF
云防火墙
RASP
Exp相关链接
×