远程主机上安装的 Docker Engine (Moby) 版本低于 23.0.15、在 25.x 至 25.0.6 之间、在 26.x 至 26.1.5 之间或在 27.x 至 27.1.1 之间。因此，它会受到身份验证绕过漏洞的影响。通过使用特别构建的 API 请求，引擎 API 客户端可使后台程序在没有正文的情况下将请求或响应转发到授权插件。在某些情况下，如果收到转发的正文，授权插件可能会允许其原本会拒绝的请求。在 2018 中发现一个安全问题，攻击者可借此使用特别构建的 API 请求绕过 AuthZ 插件。这可导致未经授权的操作，包括特权提升。尽管此问题已在 2019 年 1 月的 Docker Engine v18.09.1 中修复，但在之后的主要版本中并未修复，进而造成回归问题。任何依赖授权插件检查请求和/或响应正文以做出访问控制决策的用户都可能受到影响。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Docker Engine < 23.0.15 / < 25.0.6 / 26.x < 26.1.5 / 27.x < 27.1.1 身份验证绕过

critical Nessus 插件 ID 204784

版本 1.3