Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en los comandos pull o push en la caché de imágenes en Docker Engine y CS Docker Engine (CVE-2014-8178)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-20 Validación incorrecta de entrada
Fecha de publicación:
17/12/2019
Última modificación:
13/02/2023

Descripción

Docker Engine versiones anteriores a la versión 1.8.3 y CS Docker Engine versiones anteriores a la versión 1.6.2-CS7, no utilizan un identificador único de forma global para almacenar capas de imágenes, lo que facilita a atacantes envenenar la caché de imágenes por medio de una imagen especialmente diseñada en los comandos pull o push.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:docker:cs_engine:*:*:*:*:*:*:*:* 1.6.2-cs7 (excluyendo)
cpe:2.3:a:docker:docker:*:*:*:*:*:*:*:* 1.8.3 (excluyendo)
cpe:2.3:o:opensuse:opensuse:13.2:*:*:*:*:*:*:*