远程主机上安装的 docker 版本低于 25.0.6-1。因此，该软件受到 ALAS2ECS-2024-042 公告中提及的多个漏洞影响。

    2025-01-04：已将 CVE-2024-36620 添加到此公告中。

    2025-01-04：已将 CVE-2024-36623 添加到此公告中。

    如果 HTTP 重定向至与子域不匹配或与初始域不完全匹配的域，http.Client 不会转发敏感标头，例如 Authorization 或 Cookie。例如，从 foo.com 重定向至 www.foo.com 会转发 Authorization 标头，但重定向至 bar.com 则不会转发此标头。- 恶意构建的 HTTP 重定向可导致意外转发敏感标头。(CVE-2023-45289)

    protojson.Unmarshal 函数在取消封送某些形式的无效 JSON 时会进入无限循环。当解封为包含 google.protobuf.Any 值的消息，或当设置 UnmarshalOptions.DiscardUnknown 选项时，会发生此情况。(CVE-2024-24786)

    各种 Is 方法（IsPrivate、IsLoopback 等）无法针对 IPv4 映射的 IPv6 地址按预期运行，对于在传统 IPv4 形式时会返回 true 的地址会返回 false。
    (CVE-2024-24790)

    Moby 是一个开源容器框架，是 Docker Engine、Docker Desktop 及容器工具或运行时的其他发行版本的关键组件。Moby 的网络实现允许定义多个网络，每个网络都有自己的 IP 地址范围和网关。此功能通常称为自定义网络，因为每个网络都可以具有不同的驱动程序、参数集以及行为。创建网络时，“--internal”标记用于将网络指定为 _internal_。
    docker-compose.yml 文件中的“internal”属性也可用于将网络标记为 _internal_，且其他 API 客户端也可以指定“internal”参数。

    创建具有网络的容器时，系统会为其分配唯一的网络接口和 IP 地址。
    主机充当非内部网络的路由器，其网关 IP 提供与容器 IP 之间的 SNAT/DNAT。

    内部网络上的容器可以在彼此之间通信，但被阻止与主机可以访问的任何网络（LAN 或 WAN）通信，因为未配置默认路由，并且防火墙规则设置为终止所有传出流量。可以与网关 IP 地址（因此可适当配置主机服务）进行通信，且主机可直接与任何容器 IP 通信。

    除了配置 Linux 内核的多种网络功能以启用容器网络之外，“dockerd”还直接向容器网络提供某些服务。其中主要提供的服务为解析器，从而启用服务发现，并解析来自上游解析器的名称。

    收到针对名称与容器不符的 DNS 请求时，系统会将该请求转发到已配置的上游解析器。系统将此请求从容器的网络命名空间发出：流量的访问和路由级别与容器本身发出的请求相同。

    由于此设计，仅附加到内部网络的容器将无法使用上游解析器解析名称，因为容器本身无法与该名称服务器通信。只能解析同样附加到内部网络的容器的名称。

    许多系统运行本地转发 DNS 解析器。由于主机和容器具有单独的环回设备，上述设计的后果是容器无法从主机配置的解析器中解析名称，因为它们无法访问主机环回设备上的这些地址。为填补此漏洞，并允许容器正确解析名称（即使环回地址上使用了本地转发解析器），“dockerd”会检测此情况，并改为从主机名称工作命名空间转发 DNS 请求。然后，环回解析器按预期将请求转发到其配置的上游解析器。

    由于“dockerd”将 DNS 请求转发到主机环回设备从而完全绕过容器网络命名空间的正常路由语义，因此内部网络可能将 DNS 请求意外转发到外部名称服务器。攻击者可注册其控制权威名称服务器的域，方法是在最终将由其名称服务器应答的 DNS 查询中进行编码，从而安排遭入侵的容器泄露数据。

    Docker Desktop 不受影响，因为 Docker Desktop 始终在 RFC 1918 地址上运行内部解析器。

    已修补 Moby 版本 26.0.0、25.0.4 和 23.0.11，可防止转发来自内部网络的任何 DNS 请求。相关变通方案是，运行预期仅附加到具有自定义上游地址的内部网络的容器，这将强制从容器的网络命名空间中解析所有上游 DNS 查询。(CVE-2024-29018)

    moby v25.0.0 - v26.0.2 易受通过 daemon/images/image_history.go 造成的空指针取消引用影响。
    (CVE-2024-36620)

    moby v25.0.3 的 streamformatter 程序包中存在一个争用条件漏洞，可用于触发多个并发写入操作，导致数据损坏或应用程序崩溃。
    (CVE-2024-36623)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-3918 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3918-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 10 月 13 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：docker.io 版本：20.10.5+dfsg1-1+deb11u3 CVE ID：CVE-2024-41110 Debian 缺陷：1084993

    在 Docker Engine 中检测到漏洞，此漏洞允许攻击者在特定情况下绕过授权插件 (AuthZ)。

    对于 Debian 11 bullseye，已在版本 20.10.5+dfsg1-1+deb11u3 中修复此问题。

    我们建议您升级 docker.io 程序包。

    如需了解 docker.io 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/docker.io

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 docker 版本低于 25.0.6-1。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2024-041 公告中提及的多个漏洞的影响。

    2025-01-04：已将 CVE-2024-36620 添加到此公告中。

    2025-01-04：已将 CVE-2024-36623 添加到此公告中。

    2024-08-27：已将 CVE-2024-29018 添加到此公告中。

    2024-08-27：已将 CVE-2024-24786 添加到此公告中。

    protojson.Unmarshal 函数在取消封送某些形式的无效 JSON 时会进入无限循环。当解封为包含 google.protobuf.Any 值的消息，或当设置 UnmarshalOptions.DiscardUnknown 选项时，会发生此情况。(CVE-2024-24786)

    Moby 是一个开源容器框架，是 Docker Engine、Docker Desktop 及容器工具或运行时的其他发行版本的关键组件。Moby 的网络实现允许定义多个网络，每个网络都有自己的 IP 地址范围和网关。此功能通常称为自定义网络，因为每个网络都可以具有不同的驱动程序、参数集以及行为。创建网络时，“--internal”标记用于将网络指定为 _internal_。
    docker-compose.yml 文件中的“internal”属性也可用于将网络标记为 _internal_，且其他 API 客户端也可以指定“internal”参数。

    创建具有网络的容器时，系统会为其分配唯一的网络接口和 IP 地址。
    主机充当非内部网络的路由器，其网关 IP 提供与容器 IP 之间的 SNAT/DNAT。

    内部网络上的容器可以在彼此之间通信，但被阻止与主机可以访问的任何网络（LAN 或 WAN）通信，因为未配置默认路由，并且防火墙规则设置为终止所有传出流量。可以与网关 IP 地址（因此可适当配置主机服务）进行通信，且主机可直接与任何容器 IP 通信。

    除了配置 Linux 内核的多种网络功能以启用容器网络之外，“dockerd”还直接向容器网络提供某些服务。其中主要提供的服务为解析器，从而启用服务发现，并解析来自上游解析器的名称。

    收到针对名称与容器不符的 DNS 请求时，系统会将该请求转发到已配置的上游解析器。系统将此请求从容器的网络命名空间发出：流量的访问和路由级别与容器本身发出的请求相同。

    由于此设计，仅附加到内部网络的容器将无法使用上游解析器解析名称，因为容器本身无法与该名称服务器通信。只能解析同样附加到内部网络的容器的名称。

    许多系统运行本地转发 DNS 解析器。由于主机和容器具有单独的环回设备，上述设计的后果是容器无法从主机配置的解析器中解析名称，因为它们无法访问主机环回设备上的这些地址。为填补此漏洞，并允许容器正确解析名称（即使环回地址上使用了本地转发解析器），“dockerd”会检测此情况，并改为从主机名称工作命名空间转发 DNS 请求。然后，环回解析器按预期将请求转发到其配置的上游解析器。

    由于“dockerd”将 DNS 请求转发到主机环回设备从而完全绕过容器网络命名空间的正常路由语义，因此内部网络可能将 DNS 请求意外转发到外部名称服务器。攻击者可注册其控制权威名称服务器的域，方法是在最终将由其名称服务器应答的 DNS 查询中进行编码，从而安排遭入侵的容器泄露数据。

    Docker Desktop 不受影响，因为 Docker Desktop 始终在 RFC 1918 地址上运行内部解析器。

    已修补 Moby 版本 26.0.0、25.0.4 和 23.0.11，可防止转发来自内部网络的任何 DNS 请求。相关变通方案是，运行预期仅附加到具有自定义上游地址的内部网络的容器，这将强制从容器的网络命名空间中解析所有上游 DNS 查询。(CVE-2024-29018)

    moby v25.0.0 - v26.0.2 易受通过 daemon/images/image_history.go 造成的空指针取消引用影响。
    (CVE-2024-36620)

    moby v25.0.3 的 streamformatter 程序包中存在一个争用条件漏洞，可用于触发多个并发写入操作，导致数据损坏或应用程序崩溃。
    (CVE-2024-36623)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2023-2024-708 公告中提及的多个漏洞影响。

    Azure Identity 库和 Microsoft 身份验证库特权提升漏洞 (CVE-2024-35255)

    OpenTelemetry Collector 提供了一种供应商无关的实现方式，用于接收、处理和导出遥测数据。不安全的解压缩漏洞可让未经身份验证的攻击者通过过量内存消耗造成收集器崩溃。OTel 收集器版本 0.102.1 修复了此问题。此问题也在 confighttp 模块版本 0.102.0 和 configgrpc 模块版本 0.102.1 中得以修复。(CVE-2024-36129)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 在将 URL 写入其日志文件时未对其进行审查。这可导致 go-retryablehttp 将敏感的 HTTP 基本认证凭据写入其日志文件。此漏洞 CVE-2024-6104 已在 go-retryablehttp 中修复 0.7.7。(CVE-2024-6104)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 amazon-cloudwatch-agent 版本低于 1.300044.0-1。因此，它受到 ALAS2-2024-2630 公告中提及的多个漏洞影响。

    Azure Identity 库和 Microsoft 身份验证库特权提升漏洞 (CVE-2024-35255)

    OpenTelemetry Collector 提供了一种供应商无关的实现方式，用于接收、处理和导出遥测数据。不安全的解压缩漏洞可让未经身份验证的攻击者通过过量内存消耗造成收集器崩溃。OTel 收集器版本 0.102.1 修复了此问题。此问题也在 confighttp 模块版本 0.102.0 和 configgrpc 模块版本 0.102.1 中得以修复。(CVE-2024-36129)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

    0.7.7 之前的 go-retryablehttp 在将 URL 写入其日志文件时未对其进行审查。这可导致 go-retryablehttp 将敏感的 HTTP 基本认证凭据写入其日志文件。此漏洞 CVE-2024-6104 已在 go-retryablehttp 中修复 0.7.7。(CVE-2024-6104)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 18.04 LTS / 24.04 LTS 主机上安装的程序包受到 USN-7161-1 公告中提及的多个漏洞的影响。

    Yair Zak 发现 Docker 可能会

    以意外的方式从内部网络意外转发 DNS 请求。攻击者可能会利用此问题，通过

    对受控制的名称服务器的 DNS 查询中的信息进行编码来造成数据泄露。仅在

    Ubuntu 24.04 LTS 中解决了此问题。(CVE-2024-29018)

    Cory Snider 发现 Docker 未正确处理授权

    插件请求。攻击者可能利用此问题

    通过转发没有完整正文的 API 请求来绕过授权控制，

    进而导致未经授权的操作。(CVE-2024-41110)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 moby-engine 版本低于 测试的版本。因此，该程序受到 CVE-2024-41110 公告中提及的一个漏洞影响。

  - Moby 是 Docker 创建的用于软件容器化的开源项目。在某些版本的 Docker Engine 中检测到安全漏洞，此漏洞允许攻击者在特定情况下绕过授权插件 (AuthZ)。此问题被利用的可能性很低。通过使用特别构建的 API 请求，引擎 API 客户端可使后台程序在没有正文的情况下将请求或响应转发到授权插件。在某些情况下授权插件 可能会允许如果正文转发给它本会拒绝的请求。在 2018 中发现一个安全问题，攻击者可借此使用特别构建的 API 请求绕过 AuthZ 插件。这可导致未经授权的操作，包括特权提升。尽管此问题已在 2019 年 1 月的 Docker Engine v18.09.1 中修复，但在之后的主要版本中并未修复，进而造成回归问题。任何依赖授权插件检查请求和/或响应正文以做出访问控制决策的用户都可能受到影响。Docker EE v19.03.x 和所有版本的 Mirantis Container Runtime 都不易受攻击。 docker-ce v27.1.1 包含用于修复 漏洞的修补程序。补丁已合并到主版本分支、19.03、20.0、23.0、24.0、25.0、26.0 和 26.1 版本分支中。如果无法立即升级，请避免使用 AuthZ 插件和/或根据最小权限原则，将 Docker API 的访问权限限制为受信任方。
    (CVE-2024-41110)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 LTS/18.04 LTS/20.04 LTS/22.04 LTS 主机上安装的一个程序包受到 USN-7161-2 公告中提及的多个漏洞影响。

    USN-7161-1 修复了 Ubuntu 24.04 LTS 中的 CVE-2024-29018。此更新将修复

    Ubuntu 16.04 LTS、Ubuntu 18.04 LTS、Ubuntu 24.10 和 Ubuntu LTS 24.04 中的该漏洞。

    USN-7161-1 修复了 CVE-2024-41110（位于 Ubuntu 24.10、Ubuntu 24.04 LTS 和

    Ubuntu 18.04 LTS）。此更新将修复 Ubuntu 20.04 LTS 和

    Ubuntu 22.04 LTS）。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Moby 是 Docker 创建的用于软件容器化的开源项目。在某些版本的 Docker Engine 中检测到安全漏洞，此漏洞允许攻击者在特定情况下绕过授权插件 (AuthZ)。此问题被利用的可能性很低。通过使用特别构建的 API 请求，引擎 API 客户端可使后台程序在没有正文的情况下将请求或响应转发到授权插件。在某些情况下，如果收到转发的正文，授权插件可能会允许其原本会拒绝的请求。在 2018 中发现一个安全问题，攻击者可借此使用特别构建的 API 请求绕过 AuthZ 插件。这可导致未经授权的操作，包括特权提升。尽管此问题已在 2019 年 1 月的 Docker Engine v18.09.1 中修复，但在之后的主要版本中并未修复，进而造成回归问题。任何依赖授权插件检查请求和/或响应正文以做出访问控制决策的用户都可能受到影响。Docker EE v19.03.x 和所有版本的 Mirantis Container Runtime 都不易受攻击。 docker-ce v27.1.1 包含用于修复 漏洞的修补程序。补丁已合并到主版本分支、19.03、20.0、23.0、24.0、25.0、26.0 和 26.1 版本分支中。如果无法立即升级，请避免使用 AuthZ 插件和/或根据最小权限原则，将 Docker API 的访问权限限制为受信任方。
    (CVE-2024-41110)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 Docker Engine (Moby) 版本低于 23.0.15、在 25.x 至 25.0.6 之间、在 26.x 至 26.1.5 之间或在 27.x 至 27.1.1 之间。因此，它会受到身份验证绕过漏洞的影响。通过使用特别构建的 API 请求，引擎 API 客户端可使后台程序在没有正文的情况下将请求或响应转发到授权插件。在某些情况下，如果收到转发的正文，授权插件可能会允许其原本会拒绝的请求。在 2018 中发现一个安全问题，攻击者可借此使用特别构建的 API 请求绕过 AuthZ 插件。这可导致未经授权的操作，包括特权提升。尽管此问题已在 2019 年 1 月的 Docker Engine v18.09.1 中修复，但在之后的主要版本中并未修复，进而造成回归问题。任何依赖授权插件检查请求和/或响应正文以做出访问控制决策的用户都可能受到影响。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 docker 版本低于 25.0.6-1。因此，该软件受到 ALAS2DOCKER-2024-040 公告中提及的多个漏洞影响。

    2025-01-04：已将 CVE-2024-36620 添加到此公告中。

    2025-01-04：已将 CVE-2024-36623 添加到此公告中。

    2024-08-27：已将 CVE-2024-29018 添加到此公告中。

    2024-08-27：已将 CVE-2024-24786 添加到此公告中。

    protojson.Unmarshal 函数在取消封送某些形式的无效 JSON 时会进入无限循环。当解封为包含 google.protobuf.Any 值的消息，或当设置 UnmarshalOptions.DiscardUnknown 选项时，会发生此情况。(CVE-2024-24786)

    Moby 是一个开源容器框架，是 Docker Engine、Docker Desktop 及容器工具或运行时的其他发行版本的关键组件。Moby 的网络实现允许定义多个网络，每个网络都有自己的 IP 地址范围和网关。此功能通常称为自定义网络，因为每个网络都可以具有不同的驱动程序、参数集以及行为。创建网络时，“--internal”标记用于将网络指定为 _internal_。
    docker-compose.yml 文件中的“internal”属性也可用于将网络标记为 _internal_，且其他 API 客户端也可以指定“internal”参数。

    创建具有网络的容器时，系统会为其分配唯一的网络接口和 IP 地址。
    主机充当非内部网络的路由器，其网关 IP 提供与容器 IP 之间的 SNAT/DNAT。

    内部网络上的容器可以在彼此之间通信，但被阻止与主机可以访问的任何网络（LAN 或 WAN）通信，因为未配置默认路由，并且防火墙规则设置为终止所有传出流量。可以与网关 IP 地址（因此可适当配置主机服务）进行通信，且主机可直接与任何容器 IP 通信。

    除了配置 Linux 内核的多种网络功能以启用容器网络之外，“dockerd”还直接向容器网络提供某些服务。其中主要提供的服务为解析器，从而启用服务发现，并解析来自上游解析器的名称。

    收到针对名称与容器不符的 DNS 请求时，系统会将该请求转发到已配置的上游解析器。系统将此请求从容器的网络命名空间发出：流量的访问和路由级别与容器本身发出的请求相同。

    由于此设计，仅附加到内部网络的容器将无法使用上游解析器解析名称，因为容器本身无法与该名称服务器通信。只能解析同样附加到内部网络的容器的名称。

    许多系统运行本地转发 DNS 解析器。由于主机和容器具有单独的环回设备，上述设计的后果是容器无法从主机配置的解析器中解析名称，因为它们无法访问主机环回设备上的这些地址。为填补此漏洞，并允许容器正确解析名称（即使环回地址上使用了本地转发解析器），“dockerd”会检测此情况，并改为从主机名称工作命名空间转发 DNS 请求。然后，环回解析器按预期将请求转发到其配置的上游解析器。

    由于“dockerd”将 DNS 请求转发到主机环回设备从而完全绕过容器网络命名空间的正常路由语义，因此内部网络可能将 DNS 请求意外转发到外部名称服务器。攻击者可注册其控制权威名称服务器的域，方法是在最终将由其名称服务器应答的 DNS 查询中进行编码，从而安排遭入侵的容器泄露数据。

    Docker Desktop 不受影响，因为 Docker Desktop 始终在 RFC 1918 地址上运行内部解析器。

    已修补 Moby 版本 26.0.0、25.0.4 和 23.0.11，可防止转发来自内部网络的任何 DNS 请求。相关变通方案是，运行预期仅附加到具有自定义上游地址的内部网络的容器，这将强制从容器的网络命名空间中解析所有上游 DNS 查询。(CVE-2024-29018)

    moby v25.0.0 - v26.0.2 易受通过 daemon/images/image_history.go 造成的空指针取消引用影响。
    (CVE-2024-36620)

    moby v25.0.3 的 streamformatter 程序包中存在一个争用条件漏洞，可用于触发多个并发写入操作，导致数据损坏或应用程序崩溃。
    (CVE-2024-36623)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2023-2024-674 公告中提及的多个漏洞影响。

    2024-08-28：已将 CVE-2024-29018 添加到此公告中。

    2024-08-28：已将 CVE-2024-24786 添加到此公告中。

    protojson.Unmarshal 函数在取消封送某些形式的无效 JSON 时会进入无限循环。当解封为包含 google.protobuf.Any 值的消息，或当设置 UnmarshalOptions.DiscardUnknown 选项时，会发生此情况。(CVE-2024-24786)

    Moby 是一个开源容器框架，是 Docker Engine、Docker Desktop 及容器工具或运行时的其他发行版本的关键组件。Moby 的网络实现允许定义多个网络，每个网络都有自己的 IP 地址范围和网关。此功能通常称为自定义网络，因为每个网络都可以具有不同的驱动程序、参数集以及行为。创建网络时，“--internal”标记用于将网络指定为 _internal_。
    docker-compose.yml 文件中的“internal”属性也可用于将网络标记为 _internal_，且其他 API 客户端也可以指定“internal”参数。

    创建具有网络的容器时，系统会为其分配唯一的网络接口和 IP 地址。
    主机充当非内部网络的路由器，其网关 IP 提供与容器 IP 之间的 SNAT/DNAT。

    内部网络上的容器可以在彼此之间通信，但被阻止与主机可以访问的任何网络（LAN 或 WAN）通信，因为未配置默认路由，并且防火墙规则设置为终止所有传出流量。可以与网关 IP 地址（因此可适当配置主机服务）进行通信，且主机可直接与任何容器 IP 通信。

    除了配置 Linux 内核的多种网络功能以启用容器网络之外，“dockerd”还直接向容器网络提供某些服务。其中主要提供的服务为解析器，从而启用服务发现，并解析来自上游解析器的名称。

    收到针对名称与容器不符的 DNS 请求时，系统会将该请求转发到已配置的上游解析器。系统将此请求从容器的网络命名空间发出：流量的访问和路由级别与容器本身发出的请求相同。

    由于此设计，仅附加到内部网络的容器将无法使用上游解析器解析名称，因为容器本身无法与该名称服务器通信。只能解析同样附加到内部网络的容器的名称。

    许多系统运行本地转发 DNS 解析器。由于主机和容器具有单独的环回设备，上述设计的后果是容器无法从主机配置的解析器中解析名称，因为它们无法访问主机环回设备上的这些地址。为填补此漏洞，并允许容器正确解析名称（即使环回地址上使用了本地转发解析器），“dockerd”会检测此情况，并改为从主机名称工作命名空间转发 DNS 请求。然后，环回解析器按预期将请求转发到其配置的上游解析器。

    由于“dockerd”将 DNS 请求转发到主机环回设备从而完全绕过容器网络命名空间的正常路由语义，因此内部网络可能将 DNS 请求意外转发到外部名称服务器。攻击者可注册其控制权威名称服务器的域，方法是在最终将由其名称服务器应答的 DNS 查询中进行编码，从而安排遭入侵的容器泄露数据。

    Docker Desktop 不受影响，因为 Docker Desktop 始终在 RFC 1918 地址上运行内部解析器。

    已修补 Moby 版本 26.0.0、25.0.4 和 23.0.11，可防止转发来自内部网络的任何 DNS 请求。相关变通方案是，运行预期仅附加到具有自定义上游地址的内部网络的容器，这将强制从容器的网络命名空间中解析所有上游 DNS 查询。(CVE-2024-29018)

    AWS 发现 CVE-2024-41110，这是 Amazon Linux 的 docker 程序包中会影响 Moby 开源项目的问题。Docker 是包含多个开源容器管理系统的组件。

    此问题不影响 docker 的默认配置。如果启用了授权插件，则针对 docker 后台程序特别构建的 API 请求将被转发到授权插件，其转发方式可能导致特权提升等非预期操作。启用授权插件是一种非典型配置。受影响的 API 端点不会泄露给默认、典型或建议配置中的网络。默认 EKS 和 ECS 配置不会将 API 端点泄露给网络。如果使用的是 ECS，则不支持启用 docker 授权插件。最后，在高于 1.24 的 EKS AMI 上未安装 docker。尽管 EKS 1.24 及更早版本中已安装 docker，但 EKS 不支持使用授权插件。

    为解决问题而更新的 docker 程序包可用于 Amazon Linux 2（docker-20.10.25-1.amzn2.0.5 和 docker-25.0.6-1.amzn2.0.1）和 Amazon Linux 2023 (docker-25.0.6-1amzn2023.0.1)。AWS 建议使用 docker 的客户升级到这些版本或更高版本。(CVE-2024-41110)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
206635	Amazon Linux 2：docker (ALASECS-2024-042)	Nessus	Amazon Linux Local Security Checks	2024/9/5	2025/3/13	critical
208930	Debian dla-3918：docker-doc - 安全更新	Nessus	Debian Local Security Checks	2024/10/13	2025/1/22	critical
204929	Amazon Linux 2：docker (ALASNITRO-ENCLAVES-2024-041)	Nessus	Amazon Linux Local Security Checks	2024/7/31	2025/4/10	high
206817	Amazon Linux 2023：amazon-cloudwatch-agent (ALAS2023-2024-708)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
206820	Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2024-2630)	Nessus	Amazon Linux Local Security Checks	2024/9/9	2024/12/11	medium
213083	Ubuntu 18.04 LTS / 24.04 LTS：Docker 漏洞 (USN-7161-1)	Nessus	Ubuntu Local Security Checks	2024/12/17	2025/4/10	high
215522	Azure Linux 3.0 安全更新moby-engine (CVE-2024-41110)	Nessus	Azure Linux Local Security Checks	2025/2/10	2025/9/15	critical
216408	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS : Docker 漏洞 (USN-7161-2)	Nessus	Ubuntu Local Security Checks	2025/2/18	2025/5/13	high
248901	Linux Distros 未修补的漏洞：CVE-2024-41110	Nessus	Misc.	2025/8/12	2025/10/28	critical
204784	Docker Engine < 23.0.15 / < 25.0.6 / 26.x < 26.1.5 / 27.x < 27.1.1 身份验证绕过	Nessus	Misc.	2024/7/26	2025/3/13	critical
204943	Amazon Linux 2：docker (ALASDOCKER-2024-040)	Nessus	Amazon Linux Local Security Checks	2024/8/1	2025/4/10	high
204957	Amazon Linux 2023：docker (ALAS2023-2024-674)	Nessus	Amazon Linux Local Security Checks	2024/8/1	2025/4/10	high

检测

插件搜索

critical

critical

high

medium

medium

high

critical

high

critical

critical

high

high