由于缺少git ref命令的验证而导致命令注入

CVE编号

CVE-2019-13139

利用情况

暂无

补丁情况

官方补丁

披露时间

2019-08-23

漏洞描述

在18.09.4之前的Docker中，能够提供或操作“docker build”命令的构建路径的攻击者将能够获得命令执行。 “docker build”处理远程git URL的方式存在问题，并导致命令注入底层的“git clone”命令，导致在执行“docker build”命令的用户的上下文中执行代码。这是因为git ref可能被误解为标志。<br>

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：
https://docs.docker.com/engine/release-notes/#18094

参考链接
https://access.redhat.com/errata/RHBA-2019:3092
https://docs.docker.com/engine/release-notes/#18094
https://github.com/moby/moby/pull/38944
https://seclists.org/bugtraq/2019/Sep/21
https://security.netapp.com/advisory/ntap-20190910-0001/
https://staaldraad.github.io/post/2019-07-16-cve-2019-13139-docker-build/
https://www.debian.org/security/2019/dsa-4521

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	docker	docker	*		Up to (excluding) 18.09.4
	运行在以下环境
	系统	amazon_2	docker	*		Up to (excluding) 18.09.9ce-2.amzn2
	运行在以下环境
	系统	amazon_AMI	docker	*		Up to (excluding) 18.09.9ce-2.52.amzn1
	运行在以下环境
	系统	debian_10	docker	*		Up to (excluding) 18.09.1+dfsg1-7.1+deb10u1
	运行在以下环境
	系统	oracle_7	docker	*		Up to (excluding) 18.09.8.ol-1.0.4.el7
查看完整数据

阿里云评分 2.9

• 攻击路径 本地
• 攻击复杂度 复杂
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 100

CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）