Docker soketi servise bağlanmış (ARCH10012)

Anahtar config.compose.docker-socket · Önem error · Kategori security · CWE CWE-250

Docker soketine sahip bir konteyneri ele geçiren, sunucuda istediği bağlama ve yetkiyle konteyner başlatabilir; bu da sunucunun denetimi demektir. Kısa ve uzun volume söz dizimi birlikte okunur.

Hatalı

services:
  ci-agent:
    image: example/ci-agent:1.8.0
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock

Doğru

services:
  ci-agent:
    image: example/ci-agent:1.8.0
    volumes:
      - agent-work:/work
volumes:
  agent-work:

Düzeltme

Soketi bağlamayın. Bir araç Docker API’sine gerçekten ihtiyaç duyuyorsa ona yalnızca kullandığı çağrılara izin veren kısıtlı bir soket vekili verin ve o vekili aracın kullanıcılarının ulaşabildiği ağların dışında tutun.