Analityczne wykorzystywanie plików cookies
Krytyczna luka w Dokploy umożliwiająca zdalne wykonanie kodu jako root
Luka w Dokploy przed 0.29.13 pozwala na wykonanie kodu jako root w kontenerze. Zalecana szybka aktualizacja i ograniczenie dostępu.
- CVSS
- 9.9 CRITICAL
- EPSS
- 48.62%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
W Dokploy przed wersją 0.29.13 procedura patch.readRepoDirectories pozwala uwierzytelnionemu członkowi organizacji z uprawnieniem service:read na wstrzyknięcie poleceń shell poprzez niezabezpieczony parametr repoPath. Atakujący może wykonać dowolne polecenia jako root w kontenerze, co przy standardowym montowaniu /var/run/docker.sock umożliwia przejęcie kontroli nad hostem i aplikacjami.
Wpływ biznesowy
Luka o krytycznym poziomie CVSS 9.9 pozwala na eskalację uprawnień do root w kontenerze Dokploy i potencjalne przejęcie całego środowiska Docker na hoście. Może to prowadzić do poważnych naruszeń bezpieczeństwa, utraty danych i przestojów usług. Operatorzy powinni traktować tę lukę jako wysokie ryzyko dla infrastruktury kontenerowej.
Rekomendowane działania administratora
Zaleca się niezwłoczne zaktualizowanie Dokploy do wersji 0.29.13 lub nowszej, w której luka została załatana. W przypadku braku możliwości szybkiej aktualizacji, ogranicz dostęp do usługi tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Zweryfikuj konfigurację montowania /var/run/docker.sock i rozważ jej ograniczenie. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie i ograniczanie ekspozycji sieciowej kontenerów.