Уязвимость понижения уровня безопасности (downgrade attack) в Docker и docker-py, вызванная переходом на HTTP при сбое HTTPS-подключения к реестру
Описание
Обнаружена уязвимость в Docker и docker-py. При сбое HTTPS-подключения к реестру система откатывается на использование HTTP. Это позволяет злоумышленникам, выполняющим атаку типа "человек посередине" (man-in-the-middle), проводить атаки понижения уровня безопасности (downgrade attack) и получать данные аутентификации и образов, блокируя HTTPS-трафик между клиентом и реестром.
Затронутые версии ПО
- Docker до версии 1.3.1
- docker-py до версии 0.5.3
Тип уязвимости
- Понижение уровня безопасности
- Перехват данных
Затронутые пакеты
| Платформа | Пакет | Состояние | Рекомендация | Релиз |
|---|---|---|---|---|
| Red Hat Enterprise Linux 7 | docker | Affected |
Показывать по
Дополнительная информация
Статус:
EPSS
5.1 Medium
CVSS2
Связанные уязвимости
Docker before 1.3.1 and docker-py before 0.5.3 fall back to HTTP when the HTTPS connection to the registry fails, which allows man-in-the-middle attackers to conduct downgrade attacks and obtain authentication and image data by leveraging a network position between the client and the registry to block HTTPS traffic.
Docker before 1.3.1 and docker-py before 0.5.3 fall back to HTTP when the HTTPS connection to the registry fails, which allows man-in-the-middle attackers to conduct downgrade attacks and obtain authentication and image data by leveraging a network position between the client and the registry to block HTTPS traffic.
Docker before 1.3.1 and docker-py before 0.5.3 fall back to HTTP when ...
EPSS
5.1 Medium
CVSS2