Docker ontdekt na vijf jaar dat update voor kritiek beveiligingslek ontbreekt
Docker heeft na vijf jaar ontdekt dat een update voor een bekende kritieke kwetsbaarheid niet met de software werd meegeleverd. Eind 2018 werd het beveiligingslek gevonden, waardoor een aanvaller gebruikte autorisatieplug-ins kan omzeilen, om vervolgens ongeautoriseerde acties uit te voeren, waaronder het verhogen van rechten. De impact van het beveiligingslek is op een schaal van 1 tot en met 10 beoordeeld met een 10.0.
"Het standaard autorisatiemodel van Docker is alles of niets. Gebruikers met toegang tot de Docker-daemon kunnen elk Docker-commando uitvoeren. Voor meer toegangscontrole kan er gebruik worden gemaakt van autorisatieplug-ins. Deze plug-ins beoordelen requests voor de Docker-daemon op basis van authenticatie en commando", aldus Gabriela Georgieva van Docker.
Via de Docker engine is het mogelijk om Docker-containers te draaien. Begin 2019 verscheen er een update voor de kritieke kwetsbaarheid. In juli 2019 verscheen er een versie waarin de update door een regressie ontbrak en sindsdien werd de software zonder de patch geleverd. Iets wat afgelopen april aan het licht kwam. Docker heeft nu versie 27.1.1 uitgebracht waarin de update weer is toegevoegd.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!