Docker Desktop 4.46.0 < 4.47.0 容器逃逸

high Nessus 插件 ID 269979

语言：

简介

远程主机装有受到容器逃逸漏洞影响的应用程序。

描述

Docker Desktop 的版本低于 4.47.0。因此，它受到容器逃逸漏洞的影响。
在加固的 Docker 环境中，当启用了增强型容器隔离 (ECI https://docs.docker.com/enterprise/security/ hardened-desktop/enhanced-container-isolation/) 时，管理员可以利用命令限制功能https://docs.docker.com/enterprise/security/hardened-desktop/enhanced-container-isolation/config/#command-restrictionsto，对挂载了 Docker 套接字的容器通过该套接字可执行的命令进行限制。由于软件缺陷，用于限制命令的配置在传递给 ECI 时被忽略，从而允许在套接字上执行任何命令。这会因允许无限制地访问强大的 Docker 命令而授予过高的特权。此漏洞仅影响已启用 ECI 并使用 Docker 套接字命令限制功能的 Docker Desktop 4.46.0 用户。此外，由于 ECI 默认限制在容器中挂载 Docker 套接字，因此仅影响管理员明确允许挂载 Docker 套接字的容器。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。