Bulletin d'alerte Debian

DSA-4716-1 docker.io -- Mise à jour de sécurité

Date du rapport :

2 juillet 2020

Paquets concernés :

docker.io

Vulnérabilité :

Oui

Références dans la base de données de sécurité :

Dans le système de suivi des bogues Debian : Bogue 962141.
Dans le dictionnaire CVE du Mitre : CVE-2020-13401.

Plus de précisions :

Etienne Champetier a découvert que Docker, un environnement d'exécution Linux de conteneurs, créait des ponts de réseau qui acceptent par défaut les déclarations de routeur. Cela pourrait permettre à un attaquant doté de la capacité CAP_NET_RAW dans un conteneur d'usurper des déclarations de routeur, avec pour conséquence la divulgation d'informations ou un déni de service.

Pour la distribution stable (Buster), ce problème a été corrigé dans la version 18.09.1+dfsg1-7.1+deb10u2.

Nous vous recommandons de mettre à jour vos paquets docker.io.

Pour disposer d'un état détaillé sur la sécurité de docker.io, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/docker.io/