L'éditeur n'a pas attendu le prochain Patch Tuesday, qui intervient pourtant le 8 mai.
La vulnérabilité réside dans Windows Host Compute Service Shim (hcsshim), une bibliothèque open source faisant le lien entre Docker for Windows et les conteneurs Windows Server.
La faille, numérotée CVE-2018-8115 et découverte par le chercheur Michael Hanselmann, réside dans une validation incorrecte de certaines entrées lors de l'importation d'une image Docker.
Exploitée, la brèche permet l'exécution d'un code arbitraire, le tout à distance. Le pire des scénarios. On ne comprend pourtant pas bien l'urgence : les détails ont été communiqués secrètement à Microsoft et la faille ne fait a priori pas l'objet d'une exploitation active. Elle ne semble d'ailleurs pas simple à exploiter.
Puisque hcsshim est une bibliothèque open source, une nouvelle version (0.6.10) est disponible sur le dépôt GitHub de Microsoft.
Commentaires (5)
#1
Peu-être que google avait la faille et qu’ils allaient encore une fois publier en avance ?
#2
C’est comme Meltdown/Spectre, en soit ces faille n’étaient pas critique (car très difficile à exploiter à cause de leur variabilité), mais le fait qu’elles permettent de sortir des VMs a fait peur à l’industrie de cloud computing car elles montrent que sa sécurité ne tient qu’a un fil. Hors c’est l’activité la plus rentable chez MS et compagnie.
#3
Malheureusement, il ne semble pas que la série de patchs soit sur le point de s’arrêter…
https://www.heise.de/ct/artikel/Exclusive-Spectre-NG-Multiple-new-Intel-CPU-flaws-revealed-several-serious-4040648.html
https://www.tomshardware.fr/articles/faille-securite-serveur-patch-intel,1-67505.html
https://www.ginjfo.com/actualites/securite-informatique/processeur-intel-de-nouvelles-vulnerabilites-spectre-ont-ete-decouvertes-20180504
“There are signs that Microsoft is also preparing for CPU patches. Originally the Redmond based company expected the problems would be solved through microcode updates. Now it seems the fixes (or mitigations) will be distributed as (optional) Windows updates. PC manufacturers are simply taking too long to provide BIOS updates.”
#4
Perso docker sous Windows jai abandonné au profit dun vagrant qui contient docker
Sinon sous unix attention le répertoire /var/lib/docker/[quelque chose] a tendance a grossir anormalement meme apres docker rm et rmi ce répertoire peu encore faire plusieurs (dixaine de ) gigas
#5
Pour quelles raisons as-tu abandonné l’installation Docker sous Windows, je suis curieux ?
Car je me pose la question en ce moment justement, si je prends le temps de l’installer sur Windows ou installer une VM.