鲲鹏——Docker漏洞修复 · Pull Request !446 · openEuler/website-v2

---
title: 鲲鹏——Docker漏洞修复
date: 2021-01-19
tags:
- Kunpeng
- Docker
- Loopholes
- Solve
archives: 2021-01
author: Chen Hang
summary: 本文简要关于鲲鹏的Docker漏洞修复。
---

在华为云鲲鹏云服务上安装K8S，参考了华为云https://support.huaweicloud.com/instg-kunpengcpfs/kunpengdocker_03_0004.html安装相应的插件，其中就包含docker。正常安装完后，k8s集群正常运行服务，但是，后续使用绿盟进行安全扫描，却发现一个致命的安全漏洞，以下为安全漏洞信息

[![](http://88ooo.cn/imgs/2021/01/0d4307a64d1e0388.png)]

###该漏洞可以使得攻击者无需认证即可访问到 Docker 数据，可能导致敏感信息泄露，黑客也可以恶意删除 Docker 上的数据；攻击者可进一步利用 Docker 自身特性，直接访问宿主机上的敏感信息，或对敏感文件进行修改，最终完全控制服务器。（内容来自https://help.aliyun.com/knowledge_detail/37517.html）

简单说就是，当前docker可以被任何来源操作，包括删除、查看等等。

华为鲲鹏虚拟化解决方案中是这样描述的，

[![](http://88ooo.cn/imgs/2021/01/7f625892c00bd691.png)]

注意图中的红框，就是因为配置了这一行导致了该漏洞的产生。

下面复现一下该漏洞。

在我们内部环境的一台机器上，执行如下命令，向被攻击主机发起攻击

###docker -H tcp://[被攻击的主机IP]:4243 ps

[![](http://88ooo.cn/imgs/2021/01/3e5f76f9d56f5fb3.png)]

可以在我们内部环境直接访问到被攻击主机上的所有docker镜像

解决办法，关闭对外的所有端口，删掉之前图中用红框框起来的内容：“-H [tcp://0.0.0.0:4243](tcp://0.0.0.0:4243/)”，重启docker服务即可

[![](http://88ooo.cn/imgs/2021/01/d19a154d0fdd5ffb.png)]

再次发起攻击，发现已经无法获取了

[![](http://88ooo.cn/imgs/2021/01/d7adba64460970f7.png)]

openEuler/website-v2关闭 .gitee-modal { width: 500px !important; }

搜索帮助

openEuler/website-v2
关闭