您现在的位置是：首页 > 文章详情

CVE-2018-15664漏洞分析报告

日期：2019-06-03点击：1325收藏

近日来自SUSE的安全专家Aleksa Sarai公布了编号为CVE-2018-15664的docker相关高危安全漏洞，该漏洞的CVSS评分为8.7，影响面涵盖所有docker发行版本，攻击者可利用该漏洞逃逸出容器读取或篡改host或其他任意容器内的文件，当前docker官方已经给出了临时方案以降低攻击面并将于下个release版本发布。

漏洞描述

该漏洞的根因是使用FollowSymlinkInScope函数时触发TOCTTOU(time-of-check-to-time-of-use) 文件系统的竞争条件缺陷引起的。这段函数代码在docker源码中使用较多，最为直接的就是docker cp命令。根据Sarai的描述：FollowSymlinkInScope的作用是解析容器中运行进程的文件路径，而攻击者可以利用解析校验完成

原文链接：https://yq.aliyun.com/articles/704515

关注公众号

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。

持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

转载内容版权归作者及来源网站所有，本站原创内容转载请注明来源。