CVE-2019-15752
Docker Desktop Community Edition Privilege Escalation Vulnerability
Beschreibung
CVE-2019-15752 ist eine Schwachstelle mit dem Schweregrad HIGH für Privilegieneskalation in Docker Desktop Community Edition vor Version 2.1.0.1, klassifiziert unter CWE-732 (Incorrect Permission Assignment for Critical Resource). Der Fehler ermöglicht lokalen Benutzern die Erlangung erhöhter Privilegien durch Platzierung einer Trojaner-Datei docker-credential-wincred.exe im Verzeichnis %PROGRAMDATA%\DockerDesktop\version-bin. Mit einem CVSS 3.1-Score von 7.8 kann ein niedrig privilegierter lokaler Benutzer auf Administrator- oder SYSTEM-Ebene eskalieren, wenn ein Administrator anschließend Docker-Operationen durchführt. CISA hat CVE-2019-15752 am 3. November 2021 in den KEV-Katalog aufgenommen. Der EPSS-Score von 0.46851 (97,62. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| docker | docker | < 2.1.0.1 |
| apache | geode | 1.12.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/157404/Docker-Credential-Wincred.exe-Privilege-Escalation.html(Exploit, Third Party Advisory, VDB Entry)
- https://lists.apache.org/thread.html/rf1bbc0ea4a9f014cf94df9a12a6477d24a27f52741dbc87f2fd52ff2%40%3Cissues.geode.apache.org%3E(Mailing List)
- https://medium.com/%40morgan.henry.roman/elevation-of-privilege-in-docker-for-windows-2fd8450b478e(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-15752(US Government Resource)
Schwachstellentyp
CWE-732: Incorrect Permission Assignment for Critical Resource
Incorrect Permission Assignment for Critical Resource tritt auf, wenn Software Berechtigungen für eine kritische Ressource so setzt, dass unbeabsichtigte Akteure sie lesen, modifizieren oder ausführen können. Dies ist besonders gefährlich, wenn die Ressource von einem höher privilegierten Prozess geladen oder ausgeführt wird, da es einen Pfad zur Privilegieneskalation schafft. Die Schwäche manifestiert sich typischerweise in Dateisystemberechtigungen, bei denen ein niedrig privilegierter Benutzer in Verzeichnisse schreiben kann, die später von hoch privilegierten Prozessen gelesen werden.
Im Kontext von CVE-2019-15752 verwendete Docker Desktop Community Edition vor 2.1.0.1 das Verzeichnis %PROGRAMDATA%\DockerDesktop\version-bin\ zur Speicherung ausführbarer Dateien. Die Berechtigungen dieses Verzeichnisses erlaubten niedrig privilegierten Benutzern das Schreiben von Dateien. Wenn ein Docker-Administrator oder der Docker-Dienst Operationen ausführte, die Executables aus diesem Verzeichnis luden, wurde die vom Angreifer platzierte Trojaner-Datei mit den Privilegien des Administrators oder des SYSTEM-Kontos ausgeführt.
Mehr erfahren: CWE-732 — Incorrect Permission Assignment for Critical Resource
Auswirkungsanalyse
CVE-2019-15752 hat einen CVSS 3.1-Basisscore von 7.8 (HIGH) mit lokalen Angriffscharakteristiken.
Vertraulichkeit (Hoch): Erfolgreiche Ausnutzung eskaliert den Angreifer von einem niedrig privilegierten lokalen Benutzer zu einem Administrator- oder SYSTEM-Konto. Dies bietet Zugriff auf alle Daten des Systems, einschließlich von anderen Benutzern gespeicherte Anmeldedaten, Docker-Secrets und Konfigurationsdateien sowie Container-Images mit sensiblen Anwendungsdaten.
Integrität (Hoch): Mit erhöhten Privilegien kann der Angreifer jede Datei auf dem System modifizieren, persistente Backdoors installieren, Docker-Konfigurationen und Container-Images manipulieren sowie Sicherheitseinstellungen ändern. Der Angreifer kann auch Docker-Images im lokalen Repository modifizieren und potenziell bösartigen Code in Container einschleusen.
Verfügbarkeit (Hoch): Der Angreifer kann Docker-Dienste und alle containerisierten Anwendungen auf dem Host stören. Mit SYSTEM-Zugriff können Dienste gestoppt, kritische Dateien gelöscht, Docker-Images und Volumes beschädigt oder das gesamte System unbrauchbar gemacht werden.
Scope (Unchanged): Der Schwachstellen-Scope bleibt auf das Docker-Host-System beschränkt. Der EPSS-Score von 0.46851 (97,62. Perzentil) spiegelt eine hohe Ausnutzungswahrscheinlichkeit wider und platziert sie in den Top 2,4% aller CVEs.
Exploit-Reifegrad
Aktive Ausnutzung: CVE-2019-15752 wird aktiv in freier Wildbahn ausgenutzt. CISA hat diese Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen, mit einer verpflichtenden Behebungsfrist bis zum 3. Mai 2022.
Öffentliche Exploits: Ein detaillierter Exploit, der die Privilegieneskalationstechnik demonstriert, ist öffentlich auf Packet Storm Security verfügbar. Der Exploit zeigt, wie eine bösartige ausführbare Datei im beschreibbaren Verzeichnis platziert wird.
Einfachheit der Ausnutzung: Der Angriff ist unkompliziert durchzuführen. Ein niedrig privilegierter Benutzer erstellt eine bösartige docker-credential-wincred.exe-Datei und kopiert sie in das version-bin-Verzeichnis. Keine speziellen Tools oder komplexe Exploit-Ketten sind erforderlich. Der Angreifer wartet einfach darauf, dass ein administrativer Benutzer Docker-Befehle ausführt oder der Docker-Dienst neu startet.
EPSS-Kontext: Der EPSS-Score von 0.46851 (97,62. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit. Obwohl die lokale Zugriffsanforderung die Angriffsfläche begrenzt, machen die Einfachheit der Ausnutzung und die weite Docker-Verbreitung dies zu einem erheblichen Risiko in Multi-User-Umgebungen.
KEV-Frist: Bundesbehörden mussten bis zum 3. Mai 2022 Abhilfemaßnahmen ergreifen.
Behebung
-
Docker Desktop sofort auf Version 2.1.0.1 oder höher aktualisieren. Das Update korrigiert die Dateiberechtigungen im version-bin-Verzeichnis, um zu verhindern, dass niedrig privilegierte Benutzer ausführbare Dateien schreiben können.
-
Das version-bin-Verzeichnis auf verdächtige Dateien prüfen. %PROGRAMDATA%\DockerDesktop\version-bin\ auf unerwartete ausführbare Dateien untersuchen, insbesondere docker-credential-wincred.exe-Dateien mit aktuellen Änderungsdaten oder ungewöhnlichen Dateigrößen. Datei-Hashes mit bekannten guten Docker-Binärdateien vergleichen.
-
Verzeichnisberechtigungen manuell als Übergangsmaßnahme einschränken. Falls ein sofortiges Upgrade nicht möglich ist, die ACLs des version-bin-Verzeichnisses ändern, um Schreibzugriff für nicht-administrative Benutzer zu entfernen.
-
Systemprotokolle auf Ausnutzungsspuren prüfen. Windows-Sicherheitsereignisprotokolle auf Prozesserstellungsereignisse mit docker-credential-wincred.exe überprüfen, insbesondere Instanzen, die von privilegierten Konten gestartet wurden.
-
Application Whitelisting implementieren. Windows AppLocker oder ähnliche Anwendungskontrolllösungen einsetzen, um die Ausführung nicht autorisierter Executables in den DockerDesktop-Verzeichnissen zu verhindern.
-
Docker-Host-Zugriff auf vertrauenswürdige Benutzer beschränken. In Multi-User-Umgebungen den lokalen Anmeldezugriff auf Docker-Host-Systeme einschränken.
Technische Details
CVE-2019-15752 ist eine lokale Privilegieneskalations-Schwachstelle in Docker Desktop Community Edition vor Version 2.1.0.1 unter Windows. Die Schwachstelle besteht in der Dateiberechtigungskonfiguration des Verzeichnisses %PROGRAMDATA%\DockerDesktop\version-bin, das ausführbare Dateien für Docker-Operationen einschließlich Credential-Management speichert.
Der CVSS-Vektor (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) zeigt, dass lokaler Zugriff erforderlich ist, die Angriffskomplexität niedrig ist, keine besonderen Privilegien zum Platzieren der bösartigen Datei benötigt werden, aber Benutzerinteraktion in Form einer Docker-Operation durch einen Administrator erforderlich ist.
Der Angriff nutzt die Tatsache aus, dass %PROGRAMDATA%-Verzeichnisse unter Windows oft von Standardbenutzern beschreibbar sind. Docker Desktop speicherte seinen Credential-Helper (docker-credential-wincred.exe) in einem Unterverzeichnis unter %PROGRAMDATA% ohne ordnungsgemäße Einschränkung des Schreibzugriffs. Ein niedrig privilegierter Benutzer kann eine bösartige ausführbare Datei mit demselben Dateinamen in diesem Verzeichnis platzieren.
Wenn ein Docker-Administrator oder der Docker-Dienst Operationen ausführt, die Credential-Management erfordern, wie "docker login", das Herunterladen von Images aus authentifizierten Registries oder den Neustart des Docker-Daemons, lädt das System docker-credential-wincred.exe aus dem version-bin-Verzeichnis. Da der Angreifer diese Datei durch eine Trojaner-Version ersetzt hat, wird der bösartige Code mit den erhöhten Privilegien des aufrufenden Benutzers ausgeführt.
Apache Geode Version 1.12.0 war ebenfalls betroffen, da es eine verwundbare Docker-Version in seiner Test-Infrastruktur bündelte.
Häufig gestellte Fragen
Wird CVE-2019-15752 aktiv ausgenutzt?
Ja, CVE-2019-15752 wird aktiv in freier Wildbahn ausgenutzt. CISA hat die Schwachstelle am 3. November 2021 in den KEV-Katalog aufgenommen. Ein öffentlicher Exploit, der die Privilegieneskalationstechnik demonstriert, ist auf Packet Storm Security verfügbar, und der Angriff erfordert minimale technische Fähigkeiten.
Welche Produkte sind von CVE-2019-15752 betroffen?
Docker Desktop Community Edition Versionen vor 2.1.0.1 unter Windows sind das primär betroffene Produkt. Zusätzlich ist Apache Geode Version 1.12.0 betroffen, da es eine verwundbare Docker-Version in seiner Test-Infrastruktur enthielt. Jedes Windows-System mit einer betroffenen Docker-Desktop-Version, auf dem mehrere Benutzer lokalen Zugriff haben, ist gefährdet.
Wie behebe ich CVE-2019-15752?
Aktualisieren Sie Docker Desktop auf Version 2.1.0.1 oder höher. Prüfen Sie nach dem Upgrade das Verzeichnis %PROGRAMDATA%\DockerDesktop\version-bin\ auf verdächtige ausführbare Dateien. Überprüfen Sie die Systemprotokolle auf Anzeichen dafür, dass die bösartige Datei von privilegierten Konten ausgeführt wurde.
Wie schwerwiegend ist CVE-2019-15752?
CVE-2019-15752 wird mit HIGH und einem CVSS-Score von 7.8 bewertet. Die Schwachstelle ermöglicht lokale Privilegieneskalation von einem Standardbenutzer zu Administrator- oder SYSTEM-Zugriff unter Windows. Obwohl die lokale Zugriffsanforderung die Angriffsfläche begrenzt, weisen die Einfachheit der Ausnutzung und der EPSS-Score von 0.46851 (97,62. Perzentil) auf ein erhebliches reales Risiko hin, insbesondere in Unternehmensumgebungen mit geteilten Docker-Host-Systemen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.