Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Docker <= 1.3.1 Betroffene Plattformen: Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 6 Zwei Schwachstellen in Docker ermöglichen einem lokalen, authentifizierten Angreifer die Umgehung von Sicherheitsvorkehrungen oder das Ausführen von beliebigem Programmcode und eine Privilegieneskalation. Patch: Fedora Security Update FEDORA-2014-15779 https://admin.fedoraproject.org/updates/FEDORA-2014-15779/docker-io-1.3.2-2.fc21

Patch:

Fedora Security Update FEDORA-EPEL-2014-4281

https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4281/docker-io-1.3.2-2.el6

CVE-2014-6408: Schwachstelle in Docker erlaubt das Umgehen von
Sicherheitsvorkehrungen

Eine Schwachstelle in Docker im Zusammenhang mit Sicherheitsoptionen eines
Images führt dazu, dass die Sicherheitsoptionen eines Docker-Image die
Default-Einstellungen des Laufzeitprofils des Containers überschreiben. Ein
lokaler, authentifizierter Angreifer kann durch ein präpariertes Image die
Sicherheitsvorgaben verändern.

CVE-2014-6407: Schwachstelle in Docker ermöglicht Privilegieneskalation

Eine Schwachstelle in Docker im Zusammenhang mit ‘Docker Load’ und ‘Docker
Pull’ Operationen führt dazu, das bei dem Entpacken eines Images Symlink-
und Hardlink-Traversierungen möglich sind. Ein lokaler, authentifizierter
Angreifer kann dadurch die Ausweitung von Benutzerrechten erreichen oder
beliebigen Programmcode zur Ausführung bringen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1547/

Fedora Security Update FEDORA-2014-15779:
https://admin.fedoraproject.org/updates/FEDORA-2014-15779/docker-io-1.3.2-2.fc21

Fedora Security Update FEDORA-EPEL-2014-4281:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4281/docker-io-1.3.2-2.el6

Schwachstelle CVE-2014-6407 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6407

Schwachstelle CVE-2014-6408 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-6408

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.