Konteynerleştirmenin günümüzde ve çağında Docker Desktop, geliştiriciler için basitlik yönünde yol gösterici bir ışık olarak güçlü bir şekilde duruyor. Docker Desktop, sezgisel grafik kullanıcı arayüzü ve tek tıklamayla kurulum yöntemi nedeniyle konteynerli uygulamalar oluşturmak, çalıştırmak ve dağıtmak amacıyla dünyanın dört bir yanındaki geliştiriciler tarafından memnuniyetle karşılandı. Öte yandan “Büyük güç, büyük sorumluluk getirir” diye bir atasözü vardır. Ancak yakın zamanda düzeltilmesi gereken üç önemli güvenlik açığı olduğu ortaya çıktı. Çünkü bu güvenlik açıkları nedeniyle bir saldırgan, kurbanın bilgisayarında rastgele kod çalıştırabilir, daha üst düzey ayrıcalıklara erişebilir veya güvenlik kısıtlamalarını aşabilir.
CVE-2023-0625: Docker Masaüstü Uzaktan Kod Yürütme
Bu sorunun ciddiyeti yüksektir (CVSS ölçeğinde 9,8). 4.12.0’dan önceki Docker Desktop sürümleri bu kategoriye dahildir.
Kötü niyetli bir aktör, özel olarak yazılmış bir uzantı açıklaması veya değişiklik günlüğü ekleyerek Docker Desktop’a saldırabilir. Uzaktan Kod Yürütme (RCE), CVE-2023-0625 güvenlik açığının bir sonucu olarak etkinleştirilir ve bu güvenlik açığı, izin verilmeyen üçüncü şahısların mağdurun sistemi üzerinde tam erişim sağlamasına olanak tanır.
CVE-2023-0626: Docker Masaüstü Uzaktan Kod Yürütme
Bu sorunun ciddiyeti yüksektir (CVSS ölçeğinde 9.8). 4.12.0’dan önceki Docker Desktop sürümleri bu kategoriye dahildir.
Mesaj kutusu yolundaki sorgu parametrelerinin manipülasyonu, saldırganlar tarafından kullanılabilecek başka bir giriş noktasıdır. CVE-2023-0626 olarak bilinen güvenlik açığı, zararsız görünen bir mesaj kutusunu dijital bir truva atına dönüştürebilen uzaktan kod yürütülmesine olanak tanıyor.
CVE-2023-0627: Docker Masaüstü Yerel Ayrıcalık Yükseltmesi
CVSS skorunun 7,8 olması hastalığın ciddiyetinin yüksek olduğunu gösterir. Docker Desktop 4.11.x ve önceki sürümleri etkilenir.
Özetlemek gerekirse: ‘Penceresiz konteynerler’ anahtarı, IPC’den alınan yanıtları taklit eden bir saldırgan tarafından atlatılabilir. CVE-2023-0627 olarak tanımlanan güvenlik açığı, bir saldırganın sistem içindeki yerini daha da genişletmesine olanak tanıyan Yerel Ayrıcalık Artışına (LPE) neden olabilir.
Docker, bu güvenlik açıklarından yararlanmaya yönelik herhangi bir aktif çabanın henüz farkında değil, ancak bu durum yakın gelecekte değişebilir. Bununla birlikte, dijital teknoloji dünyası her zaman değişimden geçmektedir. Docker Desktop gibi popüler yazılım platformlarında mevcut olan ciddi kusurlar sonucunda olası siber saldırganlara kapı biraz aralık bırakılıyor.
Bu güvenlik açıklarının, özellikle de CVSS puanı 9,8 olan ikisinin ciddiyeti nedeniyle, bilgisayar korsanlarının bunları istismar etmesi teşvik edilebilir ve bu da yaygın güvenlik ihlallerinin önünü açabilir. Bu tür güvenlik açıklarından yararlanılması, düşmanca botnet’lerin oluşturulmasına, fidye yazılımının yayılmasına veya hassas verilere yetkisiz erişime neden olabilir.
Docker Desktop’ı iş akışlarına dahil eden kişi ve şirketler için acil eylem kesinlikle gereklidir. En önemli adım Docker Desktop 4.12.0 veya en güncel sürümü kullandığınızdan emin olmanızdır. Bu oldukça basit güncellemenin yüklenmesiyle bu güvenlik açıklarının neden olduğu riskler önemli ölçüde azaltılabilir.
Docker Desktop kurulumunuzu en son sürüme yükseltmenin yanı sıra, burada açıklanan güvenlik açıklarına karşı kendinizi korumak için uygulayabileceğiniz birkaç ek adım vardır.
Güvenli bir konteyner kaydının kullanımını kullanın. Konteyner görüntülerinizi, örneğin Docker Hub veya Amazon Elastic Container Registry (ECR) gibi bir konteyner kayıt defterinde depolayarak güvende tutun.
Tüm fotoğraflarınızda güvenlik açığı taraması yapın. Snyk ve Clair, konteyner görüntüleri üretime konulmadan önce güvenlik açığı testi yapmak için kullanılabilecek iki faydalı araç örneğidir.
En az ayrıcalıktan yararlanın. Container’larınıza yalnızca çalışmaları için gerekli olan hakları sağlayın. Mümkün olduğunda kapsayıcıları kök kullanıcı haklarıyla başlatmaktan kaçının.
Konteynerlerinize dikkat ettiğinizden emin olun. Docker Swarm veya Kubernetes gibi bir platform kullanarak şüpheli bir durum olmadığından emin olmak için konteynerlerinize göz kulak olun.
Bilgi güvenliği uzmanı, şu anda risk altyapısı uzmanı ve araştırmacısı olarak çalışmaktadır.
Risk ve kontrol süreci, güvenlik denetimi desteği, iş sürekliliği tasarımı ve desteği, çalışma grubu yönetimi ve bilgi güvenliği standartları konularında 15 yıllık deneyim.