遠端主機上安裝的 Docker Engine (Moby) 版本介於 28.2.0 到 28.3.2 之間因此受到一個弱點影響其會將本機連接埠洩漏至網路。重新載入 firewalld 服務時會移除所有 iptables 規則包括 Docker 建立的規則。雖然 Docker 應自動重新建立這些規則但 28.3.3 之前的版本無法重新建立會封鎖外部容器存取權的特定規則。這表示 firewalld 重新載入後具有發布至 localhost 之連接埠 (例如 127.0.0.1:8080) 的容器可從具有 Docker 橋接器之網路路由的遠端機器存取即使只應可從主機本身存取。此弱點只會影響明確發布的連接埠未發布的連接埠仍受到保護。28.3.3 版已修正此問題。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Docker 引擎 (Moby) 版本在 28.2.0 到 28.3.2 之间因此受到将本地端口暴露到网络的漏洞影响。重新加载 firewalld 服务时它将删除所有 iptables 规则包括 Docker 创建的规则。尽管 Docker 应自动重新创建这些规则但 28.3.3 之前的版本无法重新创建阻止从外部访问容器的特定规则。这意味着在 firewalld 重新加载后可以从具有到 Docker 桥接的网络路由的远程计算机访问具有发布到本地主机的端口如 127.0.0.1:8080的容器即使它们应仅可从主机本身访问。该漏洞仅影响明确发布的端口 - 未发布的端口仍然受到保护。此问题已在 28.3.3 版本中修复。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Moby 是 Docker Inc. 開發的開放原始碼容器架構會作為 Docker Engine、Mirantis Container Runtime 和其他多種下游專案/產品發布。在 28.2.0 至 28.3.2版中重新載入 firewalld 服務時該服務會移除所有 iptables 規則包括 Docker 建立的規則。雖然 Docker 應自動重新建立這些規則但 28.3.3 之前的版本無法重新建立會封鎖外部容器存取權的特定規則。這表示 firewalld 重新載入後具有發布至 localhost 之連接埠 (例如 127.0.0.1:8080) 的容器可從具有 Docker 橋接器之網路路由的遠端機器存取即使只應可從主機本身存取。此弱點只會影響明確發布的連接埠未發布的連接埠仍受到保護。
    28.3.3 版已修正此問題。(CVE-2025-54388)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Moby 是由 Docker Inc. 开发的作为 Docker Engine、Mirantis Container Runtime 和各种其他下游项目/产品进行分发的开源容器框架。在 28.2.0 到 28.3.2版本中重新加载 firewalld 服务时会删除所有 iptables 规则包括 Docker 创建的规则。尽管 Docker 应自动重新创建这些规则但 28.3.3 之前的版本无法重新创建阻止从外部访问容器的特定规则。这意味着在 firewalld 重新加载后可以从具有到 Docker 桥接的网络路由的远程计算机访问具有发布到本地主机的端口如 127.0.0.1:8080的容器即使它们应仅可从主机本身访问。该漏洞仅影响明确发布的端口 - 未发布的端口仍然受到保护。
    此问题已在 28.3.3 版本中修复。(CVE-2025-54388)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Moby は、Docker Inc. が開発したオープンソースのコンテナフレームワークで、Docker Engine、Mirantis Container Runtime、およびその他の様々なダウンストリームプロジェクト/製品として配布されています。バージョン 28.2.0 から 28.3.2では、firewalld サービスがリロードされたとき、Docker によって作成されたものを含め、すべての iptables ルールが削除されます。Docker はこれらのルールを自動的に再作成しますが、 28.3.3 より前のバージョンでは、コンテナへの外部アクセスをブロックする特定のルールの再作成に失敗します。これは、firewalld のリロード後に、 127.0.0.1:8080 などのローカルホストに公開されたポートを持つコンテナが、Docker ブリッジへのネットワークルーティングを持つリモートマシンからアクセスできるようになります。これは、ホスト自体からのみアクセス可能なはずです。この脆弱性は明示的に公開されたポートにのみ影響します。公開されていないポートは保護されたままです。
    この問題はバージョン 28.3.3 で修正されています。(CVE-2025-54388)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLES12 ホストには、SUSE-SU-2025:02913-1 アドバイザリで言及されている脆弱性の影響を受けるパッケージがインストールされています。

    - Docker 28.3.3-ce に更新してください。
    - CVE-2025-54388firewalld がリロードされたときに、公開されたコンテナポートがリモートホストからアクセス可能になるバグを修正しました。bsc#1247367

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE-SU-2026:20057-1アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    docker の変更:

    - Docker 28.5.1-ce に更新してください。オンラインで Upstream 変更ログを参照してくださいhttps://docs.docker.com/engine/release-notes/28/#2851>

    - Docker 28.5.0-ce に更新してください。オンラインで Upstream 変更ログを参照してくださいhttps://docs.docker.com/engine/release-notes/28/#2850>

    - docker-buildx v0.29.0に更新します。 Upstream 変更ログ
      <https://github.com/docker/buildx/releases/tag/v0.29.0>

    - SLE での git-core 推奨を削除します。ほとんどの SLE システムは、デフォルトで installRecommends=yes を設定しているため、Docker で git がインストールされます。
      bsc#1250508

      この機能は、主に開発者 (docker build git://) を対象としているため、ほとんどのユーザーはすでに依存関係をインストールしており、git がない場合のエラーは非常に単純です (そのため、インストールする必要があるものを簡単に見つけることができます)。

    - docker-buildx v0.28.0に更新してください。 Upstream 変更ログ
      <https://github.com/docker/buildx/releases/tag/v0.28.0>

    - Docker 28.4.0-ce に更新してください。<https://docs.docker.com/engine/release-notes/28/#2840>* の Upstream 変更ログオンラインを参照してください。docker push での nil ポインターパニックを修正します。 bsc#1248373

    - docker buildx ... に関連する警告とエラーを更新し、openSUSE docker-buildx パッケージを参照するようにします。

    - SUSEConnect シークレットインジェクションを有効にした SLE15 システム用の docker-buildx の構築を有効にします。PED-12534 PED-8905 bsc#1247594

      docker-buildx は SUSEConnect のシークレットインジェクションをサポートしていないため一部のユーザーは docker build が透過的に機能する必要があります、docker CLI にパッチを適用し、docker build が docker buildx build を自動的に呼び出さず、効果的に DOCKER_BUILDKIT=0 をデフォルト構成にします。ユーザーは、docker buildx ... コマンドを手動で使用するか、docker-buildx を使用してオプトインするために DOCKER_BUILDKIT=1 を設定できます。

      ユーザーは DOCKER_BUILDKIT=0 を明示的に設定することで、docker ビルドの警告を停止させることができます。

      docker-buildx で SCC 認証情報を注入するには、ユーザーが

        RUN --mount=type=secret,id=SCCcredentials zypper -n ...

      これらの Dockerfiles にある

        docker buildx build --secret id=SCCcredentials,src=/etc/zypp/credentials.d/SCCcredentials,type=file .

      バグが見つかりました。

    - Docker 28.3.3-ce に更新してください。オンラインで Upstream 変更ログを参照してくださいhttps://docs.docker.com/engine/release-notes/28/#2833>CVE-2025-54388 bsc#1247367

    - docker-buildx v0.26.1 に更新します。 Upstream 変更ログ
      <https://github.com/docker/buildx/releases/tag/v0.26.1>

    - docker-buildx v0.26.0に更新します。 Upstream 変更ログ
      <https://github.com/docker/buildx/releases/tag/v0.26.0>

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているDocker EngineMobyのバージョンは 28.2.0 、から 28.3.2 です。したがって、ローカルポートをネットワークに公開する脆弱性の影響を受けます。firewalld サービスがリロードされると、Docker によって作成されたものを含め、すべての iptables ルールが削除されます。Docker はこれらのルールを自動的に再作成しますが、 28.3.3 より前のバージョンでは、コンテナへの外部アクセスをブロックする特定のルールの再作成に失敗します。これは、firewalld のリロード後に、 127.0.0.1:8080 などのローカルホストに公開されたポートを持つコンテナが、Docker ブリッジへのネットワークルーティングを持つリモートマシンからアクセスできるようになります。これは、ホスト自体からのみアクセス可能なはずです。この脆弱性は明示的に公開されたポートにのみ影響します。公開されていないポートは保護されたままです。この問題はバージョン 28.3.3 で修正されています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:02914-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    - Docker 28.3.3-ce に更新してください。
    - CVE-2025-54388firewalld がリロードされたときに、公開されたコンテナポートがリモートホストからアクセス可能になるバグを修正しました。bsc#1247367

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLES12 host has packages installed that are affected by a vulnerability as referenced in the SUSE- SU-2025:02913-1 advisory.

    - Update to Docker 28.3.3-ce.
    - CVE-2025-54388: Fixed a bug where firewalld when reloaded can make published container ports accessible     from remote hosts. (bsc#1247367)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by a vulnerability as referenced in the openSUSE- SU-2026:20057-1 advisory.

    Changes in docker:

    - Update to Docker 28.5.1-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/28/#2851>

    - Update to Docker 28.5.0-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/28/#2850>

    - Update to docker-buildx v0.29.0. Upstream changelog:
      <https://github.com/docker/buildx/releases/tag/v0.29.0>

    - Remove git-core recommends on SLE. Most SLE systems have       installRecommends=yes by default and thus end up installing git with Docker.
      bsc#1250508

      This feature is mostly intended for developers (docker build git://) so       most users already have the dependency installed, and the error when git is       missing is fairly straightforward (so they can easily figure out what they       need to install).

    - Update to docker-buildx v0.28.0. Upstream changelog:
      <https://github.com/docker/buildx/releases/tag/v0.28.0>

    - Update to Docker 28.4.0-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/28/#2840>
      * Fixes a nil pointer panic in docker push. bsc#1248373

    - Update warnings and errors related to docker buildx ... so that they       reference our openSUSE docker-buildx packages.

    - Enable building docker-buildx for SLE15 systems with SUSEConnect secret       injection enabled. PED-12534 PED-8905 bsc#1247594

      As docker-buildx does not support our SUSEConnect secret injection (and some       users depend docker build working transparently), patch the docker CLI so       that docker build will no longer automatically call docker buildx build,       effectively making DOCKER_BUILDKIT=0 the default configuration. Users can       manually use docker buildx ... commands or set DOCKER_BUILDKIT=1 in order       to opt-in to using docker-buildx.

      Users can silence the docker build warning by setting DOCKER_BUILDKIT=0       explicitly.

      In order to inject SCC credentials with docker-buildx, users should use

        RUN --mount=type=secret,id=SCCcredentials zypper -n ...

      in their Dockerfiles, and

        docker buildx build --secret id=SCCcredentials,src=/etc/zypp/credentials.d/SCCcredentials,type=file .

      when doing their builds.

    - Update to Docker 28.3.3-ce. See upstream changelog online at       <https://docs.docker.com/engine/release-notes/28/#2833>       CVE-2025-54388 bsc#1247367

    - Update to docker-buildx v0.26.1. Upstream changelog:
      <https://github.com/docker/buildx/releases/tag/v0.26.1>

    - Update to docker-buildx v0.26.0. Upstream changelog:
      <https://github.com/docker/buildx/releases/tag/v0.26.0>

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The version of the Docker Engine (Moby) installed on the remote host is between 28.2.0 to 28.3.2 It is therefore affected by an vulnerability that exposes local ports to the network. When the firewalld service is reloaded it removes all iptables rules including those created by Docker. While Docker should automatically recreate these rules, versions before 28.3.3 fail to recreate the specific rules that block external access to containers. This means that after a firewalld reload, containers with ports published to localhost (like 127.0.0.1:8080) become accessible from remote machines that have network routing to the Docker bridge, even though they should only be accessible from the host itself. The vulnerability only affects explicitly published ports - unpublished ports remain protected. This issue is fixed in version 28.3.3.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by a vulnerability as referenced in the SUSE-SU-2025:02914-1 advisory.

    - Update to Docker 28.3.3-ce.
    - CVE-2025-54388: Fixed a bug where firewalld when reloaded can make published container ports accessible     from remote hosts. (bsc#1247367)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

An update of the docker package has been released.

The version of Tencent Linux installed on the remote TencentOS Server 4 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the TSSA-2025:0667 advisory.

    Package updates are available for TencentOS Server 4 that fix the following vulnerabilities:

    CVE-2025-54388:
    Moby is an open source container framework developed by Docker Inc. that is distributed as Docker Engine,     Mirantis Container Runtime, and various other downstream projects/products. In versions 28.2.0 through     28.3.2, when the firewalld service is reloaded it removes all iptables rules including those created by     Docker. While Docker should automatically recreate these rules, versions before 28.3.3 fail to recreate     the specific rules that block external access to containers. This means that after a firewalld reload,     containers with ports published to localhost (like 127.0.0.1:8080) become accessible from remote machines     that have network routing to the Docker bridge, even though they should only be accessible from the host     itself. The vulnerability only affects explicitly published ports - unpublished ports remain protected.
    This issue is fixed in version 28.3.3.

Tenable has extracted the preceding description block directly from the Tencent Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Moby is an open source container framework developed by Docker Inc. that is distributed as Docker Engine,     Mirantis Container Runtime, and various other downstream projects/products. In versions 28.2.0 through     28.3.2, when the firewalld service is reloaded it removes all iptables rules including those created by     Docker. While Docker should automatically recreate these rules, versions before 28.3.3 fail to recreate     the specific rules that block external access to containers. This means that after a firewalld reload,     containers with ports published to localhost (like 127.0.0.1:8080) become accessible from remote machines     that have network routing to the Docker bridge, even though they should only be accessible from the host     itself. The vulnerability only affects explicitly published ports - unpublished ports remain protected.
    This issue is fixed in version 28.3.3. (CVE-2025-54388)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
243284	Docker Engine 28.2 < 28.3.3 暴露給網路的本機 Docker 連接埠	Nessus	Misc.	2025/8/1	2026/4/30	medium
243284	Docker Engine 28.2 < 28.3.3 暴露到网络的本地 Docker 端口	Nessus	Misc.	2025/8/1	2026/4/30	medium
251987	Linux Distros 未修補的弱點：CVE-2025-54388	Nessus	Misc.	2025/8/19	2026/4/29	medium
251987	Linux Distros 未修补的漏洞：CVE-2025-54388	Nessus	Misc.	2025/8/19	2026/4/29	medium
251987	Linux Distros のパッチ未適用の脆弱性: CVE-2025-54388	Nessus	Misc.	2025/8/19	2026/4/29	medium
252920	SUSE SLES12 セキュリティ更新 : docker (SUSE-SU-2025:02913-1)	Nessus	SuSE Local Security Checks	2025/8/20	2026/4/30	medium
291339	openSUSE 16 セキュリティ更新dockeropenSUSE-SU-2026:20057-1	Nessus	SuSE Local Security Checks	2026/1/19	2026/4/30	medium
243284	Docker Engine 28.2 < 28.3.3 ローカルの Docker ポートがネットワークに漏洩	Nessus	Misc.	2025/8/1	2026/4/30	medium
252932	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : docker (SUSE-SU-2025:02914-1)	Nessus	SuSE Local Security Checks	2025/8/20	2026/4/30	medium
252920	SUSE SLES12 Security Update : docker (SUSE-SU-2025:02913-1)	Nessus	SuSE Local Security Checks	2025/8/20	2026/4/30	medium
291339	openSUSE 16 Security Update : docker (openSUSE-SU-2026:20057-1)	Nessus	SuSE Local Security Checks	2026/1/19	2026/4/30	medium
243284	Docker Engine 28.2 < 28.3.3 Local Docker Ports Exposed to Network	Nessus	Misc.	2025/8/1	2026/4/30	medium
252932	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : docker (SUSE-SU-2025:02914-1)	Nessus	SuSE Local Security Checks	2025/8/20	2026/4/30	medium
306350	Photon OS 5.0: Docker PHSA-2026-5.0-0809	Nessus	PhotonOS Local Security Checks	2026/4/14	2026/4/14	medium
253473	TencentOS Server 4: moby (TSSA-2025:0667)	Nessus	Tencent Local Security Checks	2025/8/21	2025/12/4	medium
251987	Linux Distros Unpatched Vulnerability : CVE-2025-54388	Nessus	Misc.	2025/8/19	2026/4/29	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium