PT-2021-17646 · Unknown · Rakibtg Docker Dashboard

Retpoline · Publicado 2021-03-01 · Atualizado 2022-05-23 · CVE-2021-27886

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

Versões do rakibtg Docker Dashboard anteriores a 28/02/2021

Descrição:

A vulnerabilidade permite a injeção de comandos no arquivo backend/utilities/terminal.js por meio de metacaracteres de shell no parâmetro command de uma solicitação de API. Este não é um produto da Docker, Inc.

Recomendações:

Para versões anteriores a 28/02/2021, atualize para uma versão lançada após 28/02/2021 para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo backend/utilities/terminal.js para minimizar o risco de exploração. Evite usar metacaracteres de shell no parâmetro command de solicitações de API até que o problema seja resolvido.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2021-27886

Produtos afetados

Rakibtg Docker Dashboard

Referências · 7

• https://github.com/rakibtg/docker-web-gui/issues/23 · Nota
• https://github.com/rakibtg/docker-web-gui/commit/79cdc41809f2030fce21a1109898bd79e4190661 · Correção
• https://t.me/cibsecurity/24310 · Publicação no Telegram
• http://packetstormsecurity.com/files/163416/Docker-Dashboard-Remote-Command-Execution.html · Nota
• https://osv.dev/vulnerability/CVE-2021-27886 · Aviso do Fabricante
• https://docker.com/legal/trademark-guidelines · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-27886 · Nota de Segurança