CVE-2024-8695 & CVE-2024-8696: Two Critical RCE Flaws Discovered in Docker Desktop
2024/09/12 SecurityOnline — コンテナ化されたアプリケーション開発に最適な Docker Desktop に、リモート・コード実行 (RCE) 攻撃を可能にする２つの重大なセキュリティ脆弱性 CVE-2024-8695／CVE-2024-8696 が発見された。
Docker Desktop は、コンテナを管理するための、合理化されたグラフィカル・インターフェースを開発者に提供する。それは、さまざまな環境をまたいで、アプリケーションを一貫してデプロイするための重要なテクノロジーである。テスト／開発／デプロイの各局面において、コンテナ化されたワークフローを Docker Desktop が簡素化するため、インフラに対する深い知識がない開発者にとって不可欠なツールとなる。
Docker Desktop のバージョン 4.34.2 未満で発見された、脆弱性 CVE-2024-8695／CVE-2024-8696 は、拡張機能の説明／変更履歴／発行元の URL を処理する方法に起因する。これらのフィールドに、悪意の入力を仕込むことに成功した攻撃者は、Docker Desktop を騙して被害者のシステム上で任意のコードを実行できる。
これらの脆弱性に対しては、CVE-2024-8695 は CVSSv4：9.0／CVE-2024-8696 は CVSSv4：8.9 という、高い CVSS スコアが割り当てられている。それらが悪用されると、以下のような深刻な被害をもたらす可能性がある。
- 機密データへの不正アクセス
- マルウェアのインストール
- 影響を受けるシステムの完全な乗っ取り
これらの脆弱性の深刻さと、Docker Desktop の広範な利用を考慮すると、ユーザーにとって極めて重要なことは、自らを保護するために早急な対応を取ることである。すでに Docker は、これらの脆弱性を修正したパッチ版として、バージョン 4.34.2 をリリースしている。すべてのユーザーに対して強く推奨されるのは、このバージョンへと迅速に更新することである。
さらに、信頼できないソースからエクステンションをインストールする際にも、ユーザーは注意を払う必要がある。また、それらをインストールする前に、その正当性を常に確認し、インストール・プロセス中の警告や異常な動作に対して細心の注意を払うべきだ。
Docker Desktop に存在する、深刻な脆弱性 CVE-2024-8695／CVE-2024-8696 が FIX しました。ご利用のチームは、十分に ご注意ください。Docker に関する直近の記事は、2024/07/23 の「Docker に深刻な脆弱性 CVE-2024-41110 (CVSS:10) ：システム乗っ取りの恐れ」となります。よろしければ、Docker で検索と併せて、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.