PT-2024-2427 · Docker+7 · Moby+8

Cibofo

·

Publicado

2024-03-19

·

Atualizado

2026-03-27

·

CVE-2024-29018

CVSS v3.1

7.5

Alta

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Nome do software vulnerável e versões afetadas
Versões do Moby anteriores à 23.0.11
Versões do Moby anteriores à 25.0.4
Versões do Moby anteriores à 26.0.0
Descrição
O problema está relacionado à implementação de rede no Moby, que permite a criação de redes personalizadas com seu próprio intervalo de endereços IP e gateway. Quando um contêiner é conectado a uma rede interna, ele é impedido de se comunicar com quaisquer redes às quais o host tenha acesso. No entanto, devido ao design do serviço dockerd, as redes internas podem, inesperadamente, encaminhar solicitações DNS para um servidor de nomes externo. Isso pode ser explorado por um invasor para extrair dados de um contêiner comprometido, codificando-os em consultas DNS. O sinalizador --internal é usado para designar uma rede como interna, e o atributo internal em um arquivo docker-compose.yml também pode ser usado para marcar uma rede como interna.
Recomendações
Para versões do Moby anteriores à 23.0.11, atualize para a versão 23.0.11 ou posterior para impedir o encaminhamento de solicitações DNS de redes internas.
Para versões do Moby anteriores à 25.0.4, atualize para a versão 25.0.4 ou posterior para impedir o encaminhamento de solicitações DNS de redes internas.
Para versões do Moby anteriores à 26.0.0, atualize para a versão 26.0.0 ou posterior para impedir o encaminhamento de solicitações DNS de redes internas.
Como solução alternativa temporária, execute contêineres destinados a serem conectados exclusivamente a redes internas com um endereço upstream personalizado, o que forçará todas as consultas DNS upstream a serem resolvidas a partir do nome de rede do contêiner

Exploit

Correção

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALT-PU-2024-11151
ALT-PU-2024-11263
ALT-PU-2024-13162
ALT-PU-2024-4305
AZL-36900
AZL-40034
BDU:2024-02382
CVE-2024-29018
GHSA-MQ39-4GV4-MVPX
GO-2024-2659
MGASA-2025-0189
OESA-2024-1417
OESA-2024-1464
OESA-2024-1465
OESA-2024-1466
OESA-2024-1467
OESA-2024-1468
OPENSUSE-SU-2024:14597-1
OPENSUSE-SU-2024:14598-1
OPENSUSE-SU-2025_0226-1
OPENSUSE-SU-2025_0776-1
OPENSUSE-SU-2025_1062-1
SUSE-SU-2025:0226-1
SUSE-SU-2025:03540-1
SUSE-SU-2025:03545-1
SUSE-SU-2025:0776-1
SUSE-SU-2025:0992-1
SUSE-SU-2025:1062-1
SUSE-SU-2025:1102-1
SUSE-SU-2025:20205-1
SUSE-SU-2025:20259-1
SUSE-SU-2025_0226-1
SUSE-SU-2025_0776-1
SUSE-SU-2025_0992-1
SUSE-SU-2026:0972-1
SUSE-SU-2026:1118-1
USN-7161-1
USN-7161-2

Produtos afetados

Alt Linux
Astra Linux
Debian
Docker
Linuxmint
Moby
Red Os
Suse
Ubuntu