此 docker 版本更新修复以下安全和非安全问题并添加更多功能。

- 更新到 1.4.0（2014 年 12 月 11 日）：

- 自 1.3.0 以来的重要功能：

- 为后台程序设置 key=value 标签（显示在“docker info”中），使用新的“-label”后台程序标记进行应用

- 为以下形式的 Dockerfile 中的“ENV”添加支持：“ENV name=value name2=value2...”

- 新的 Overlayfs 存储驱动程序

-“docker info”现在返回“ID”和“Name”字段

- 按事件名称、容器或图像过滤事件

-“docker cp”现在支持从容器卷进行复制

- 修复了“docker tag”，因此其在覆盖现有图像的标记时会遵从“--force”。

- 由 1.3.3 引入的变更（2014 年 12 月 11 日）：

- 安全：

- 修复处理绝对符号链接中的路径遍历漏洞 (CVE-2014-9356) - (bnc#909709)

- 修复 xz 图像存档的解压缩，从而防止权限升级 (CVE-2014-9357) - (bnc#909710)

- 验证图像 ID (CVE-2014-9358) - (bnc#909712)

- Runtime：

- 修复图像存档读取缓慢时出现的问题

- 客户端：

- 修复与 stdin 重定向相关的回归

- 修复当目标为当前目录时“docker cp”的回归

针对 CVE-2014-9357、CVE-2014-9358、CVE-2014-9356 的安全补丁 恢复为使用上游 v1.3.2 版本 解决了：rhbz#1169035、rhbz#1169151

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

docker 的此版本升级修复了以下安全和非安全问题，并添加了其他功能：

- 更新到 1.4.1（2014 年 12 月 15 日）：

- Runtime：

- 修复创建后未遵守 volumes-from 和绑定挂载的问题（修复 bnc#913213）

- 添加 e2fsprogs 作为运行时依存关系，使用 devicemapper 驱动程序时需要此关系。(bnc#913211)。

- 为 docker.socket 修复了所有者和群组（感谢 Andrei Dziahel 和 https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=752555 #5）

- 更新到 1.4.0（2014 年 12 月 11 日）：

- 自 1.3.0 以来的重要功能：

- 为后台程序设置 key=value 标签（显示在“docker info”中），使用新的“-label”后台程序标记进行应用

- 为以下形式的 Dockerfile 中的“ENV”添加支持：“ENV name=value name2=value2...”

- 新的 Overlayfs 存储驱动程序

-“docker info”现在返回“ID”和“Name”字段

- 按事件名称、容器或图像过滤事件

-“docker cp”现在支持从容器卷进行复制

- 修复了“docker tag”，因此其在覆盖现有图像的标记时会遵从“--force”。

- 由 1.3.3 引入的变更（2014 年 12 月 11 日）：

- 安全：

- 修复处理绝对符号链接中的路径遍历漏洞 (CVE-2014-9356) - (bnc#909709)

- 修复 xz 图像存档的解压缩，从而防止权限升级 (CVE-2014-9357) - (bnc#909710)

- 验证图像 ID (CVE-2014-9358) - (bnc#909712)

- Runtime：

- 修复图像存档读取缓慢时出现的问题

- 客户端：

- 修复与 stdin 重定向相关的回归

- 修复当目标为当前目录时“docker cp”的回归

请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

处理绝对符号链接时可能发生路径遍历攻击。检查符号链接有无遍历时，仅考虑相对链接。这允许在应被阻止的位置存在路径遍历。通过存档提取和卷挂载均可利用此漏洞。此漏洞允许来自恶意 Dockerfile 的恶意图像或版本将文件写入到主机系统并转义容器化，从而导致权限升级。(CVE-2014-9356)

已发现 Docker 1.3.2 中引入的存档提取的 chroot 引入了一个权限升级漏洞。通过提供恶意“xz”二进制，来自恶意 Dockerfile 的恶意图像或版本可在 Docker 主机上以根用户身份升级权限和执行任意代码。(CVE-2014-9357)

已发现 Docker 未充分验证通过“docker 加载”或注册表通信提供的图像 ID。这允许路径遍历攻击，造成图形损坏和恶意图像操纵，以及存储库欺骗攻击。(CVE-2014-9358)

更改描述：

[1.3.3-1.0.1]
- 在 docker-pkg-devel 的 %files 宏下添加 symlink/LICENSE.BSD 和 symlink/LICENSE.APACHE 
- 将 %package devel 中 docker-io-pkg-devel 的要求重命名为 docker-pkg-devel
- 重命名为 docker
- 恢复 Oracle Linux 6 的 SysV init 脚本

[1.3.3-1]
- 将来源从 https://github.com/docker/docker/releases/tag/v1.3.3 更新到 1.3.3 处理绝对符号链接时存在路径遍历 (CVE-2014-9356) LZMA (.xz) 存档解压缩时存在权限升级 (CVE-2014-9357) 通过图像标识符提供路径遍历和欺骗机会 (CVE-2014-9358)

在 docker repo 内运行测试允许 unitfile 使用 /etc/sysconfig/docker-network。用于 CVE-2014-9357、CVE-2014-9358、CVE-2014-9356 的安全补丁

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 docker 程序包修复了两个安全问题和多个缺陷，并添加了多种增强，现在可用于 Red Hat Enterprise Linux 7 Extras。

Red Hat 产品安全团队将此更新评级为具有低安全影响。可从“参考”部分中的 CVE 链接获取针对每个漏洞的通用漏洞评分系统 (CVSS) 基本分数，其给出了详细的严重性等级。

Docker 是在 Linux 中提供容器管理的服务。

已发现恶意容器映像可通过包含绝对符号链接来覆盖主机文件系统的任意部分，可能导致权限升级。(CVE-2014-9356)

在 Docker 服务解包“docker pull”后的映像或版本的方式中发现一个缺陷。攻击者可利用此缺陷提供恶意映像或版本，当解包此映像或版本时，会升级其在系统中的权限。(CVE-2014-9357)

Red Hat 在此感谢 Docker Inc. 报告这些问题。

docker-python 子程序包提供新的 Atomic 工具。Atomic 的目标是为 Red Hat Enterprise Linux Atomic 主机提供高级、连贯的条目点。Atomic 使得能够更容易与特定类型的容器交互，如超权限调试工具。
Atomic 手册页提供全面的信息和文档。

docker 程序包已升级到上游版本 1.4.1，其提供了对之前版本的多项缺陷补丁和增强，最为人所知的是试验性 overlayfs 存储驱动程序。(BZ#1174351)

缺陷补丁：

* 容器和映像的 JSON 配置文件不一致。因此，当通过“docker inspect”命令解析这些文件时，会不必要地产生复杂输出。此更新改进了配置文件中的密钥命名方案，现在“docker inspect”的输出已一致。(BZ#1092773)

* /run 目录具有错误的 SELinux 标签。因此，容器无法访问 /run。此更新修正了 SELinux 标签，现在容器已具有 /run 访问权限。(BZ#1100009)

* Docker 服务包含错误的秘密目录路径。因此，执行“docker run”无法创建容器。此更新修复了秘密目录的默认路径，现在可成功执行“docker run”。(BZ#1102568)

* 在所有 docker.io 文件无法访问的情况下，无法在配置文件中指定默认存储库。因此，由于无法联系默认存储库，运行 docker 命令失败。现在，由于能够连接到本地私人存储库，可以指定本地 Docker 存储库，命令不再失败。
(BZ#1106430)

* 当对处于关闭过程中的容器执行“docker attach”命令时，进程不会失败，但会处于无响应状态。此缺陷已修复，对正在关闭的容器运行“docker attach”会造成附加进程失败，并出现告知性错误消息，提示无法附加已停止的容器。(BZ#1113608)

* “docker run”子命令错误地返回本应全部为零的非零退出代码。因此，无法区分 docker 命令行的退出代码与所含进程的退出代码，这继而导致无法自动控制“docker run”。此更新修复了“docker run”退出代码内的不一致。此外，此更新还修复了其他 docker 子命令的不一致，并改进了错误和警告消息中的语言。
(BZ#1162807)

* 使用“--registry-prepend”选项添加新的注册表未遵循正确的顺序来查询和下载映像。因此，它未首先查询预置的新注册表，而从查询 docker.io.开始。“--registry-prepend”选项已重命名为“--registry-add”，并且已将其行为更改为按指定顺序查询添加的注册表，最后查询 docker.io。(BZ#1186153)

建议所有 docker 用户升级这些更新后的程序包，其中修正了这些问题并添加了这些增强。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
80278	openSUSE 安全更新：docker (openSUSE-SU-2014:1722-1)	Nessus	SuSE Local Security Checks	2014/12/29	2021/1/19	high
79954	Fedora 21：docker-io-1.4.0-1.fc21 (2014-16839)	Nessus	Fedora Local Security Checks	2014/12/15	2021/1/11	critical
83667	SUSE SLES12 安全更新：docker (SUSE-SU-2015:0082-1)	Nessus	SuSE Local Security Checks	2015/5/20	2021/1/6	high
79875	Amazon Linux AMI：docker (ALAS-2014-461)	Nessus	Amazon Linux Local Security Checks	2014/12/15	2019/12/12	high
80329	Oracle Linux 6 / 7：docker (ELSA-2014-3110)	Nessus	Oracle Linux Local Security Checks	2015/1/2	2021/1/14	high
80981	Fedora 20：docker-io-1.4.1-6.fc20 (2015-1128)	Nessus	Fedora Local Security Checks	2015/1/26	2021/1/11	critical
81640	RHEL 7：docker (RHSA-2015:0623)	Nessus	Red Hat Local Security Checks	2015/3/5	2019/12/12	high

检测

插件搜索

high

critical

high

high

high

critical

high