PT-2024-1509 · Docker+3 · Moby+4

Rumpl

+1

·

Publicado

2024-02-01

·

Atualizado

2026-05-18

·

CVE-2024-24557

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Moby anteriores à 23.0
Versões do Moby 23.0 e posteriores com a variável de ambiente DOCKER BUILDKIT=0
Versões do Moby 23.0 e posteriores que utilizam o endpoint da API /build
Descrição
O sistema clássico de cache do construtor no Moby está sujeito a envenenamento de cache se a imagem for construída DO ZERO. Alterações em algumas instruções, como HEALTHCHECK e ONBUILD, não causariam uma falha de cache. Um invasor com conhecimento do Dockerfile poderia envenenar o cache fazendo com que ele baixasse uma imagem especialmente criada que seria considerada uma candidata válida para o cache em algumas etapas de construção. O endpoint da API de construção de imagem (/build) e a função ImageBuild de github.com/docker/docker/client também são afetados, pois usam o construtor clássico por padrão.
Recomendações
Para versões anteriores à 23.0, atualize para uma versão que inclua o patch, como a 24.0.9 ou a 25.0.2.
Para versões 23.0 e posteriores com a variável de ambiente DOCKER BUILDKIT=0, defina DOCKER BUILDKIT=1 para usar o Buildkit ou atualize para uma versão que inclua o patch.
Para versões 23.0 e posteriores que usam o endpoint da API /build, considere usar a opção --no-cache ou atualizar para uma versão que inclua o patch.
Como solução alternativa temporária, considere usar --no-cache ou definir NoCache = true em ImageBuildOptions para a chamada ImageBuild.
Use Version = types.BuilderBuildKit em ImageBuildOptions para a chamada ImageBuild para usar o Buildkit.

Exploit

Correção

Insufficient Verification of Data Authenticity

Origin Validation Error

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

AZL-34275
AZL-35002
BDU:2024-01020
CLEANSTART-2026-BK59402
CLEANSTART-2026-BN11148
CLEANSTART-2026-GY69323
CLEANSTART-2026-HI89495
CLEANSTART-2026-HL71566
CLEANSTART-2026-JD48541
CLEANSTART-2026-OS18490
CLEANSTART-2026-SB85645
CLEANSTART-2026-SP51034
CLEANSTART-2026-TD34476
CLEANSTART-2026-XL45869
CLEANSTART-2026-YB44027
CLEANSTART-2026-ZM20570
CVE-2024-24557
ECHO-CCFB-33B9-BA76
GHSA-XW73-RW38-6VJC
GO-2024-2512
OESA-2024-1302
OPENSUSE-SU-2024:14287-1

Produtos afetados

Astra Linux
Debian
Docker
Moby
Red Os