📢 ເຕືອນໄພ! ພົບຊ່ອງໂຫວ່ຮ້າຍແຮງໃນ Docker Compose ແລະ Docker Desktop ອາດເຮັດໃຫ້ຖືກຄວບຄຸມລະບົບໄດ້

ທີມງານວິໄຈຈາກ Imperva ໄດ້ຄົ້ນພົບຊ່ອງໂຫວ່ຄວາມປອດໄພທີ່ຮ້າຍແຮງສອງຢ່າງໃນ Docker Compose ແລະ Docker Desktop ເຊິ່ງອາດເປີດໂອກາດໃຫ້ແຮັກເກີສາມາດເຂົ້າຄວບຄຸມລະບົບ ຂອງຜູ້ໃຊ້ງານໄດ້.

1. ⚠️ ຊ່ອງໂຫວ່ໃນ Docker Compose: CVE-2025-62725 (ຄ່າ Severity 8.9)

ລາຍລະອຽດຊ່ອງໂຫວ່: ຊ່ອງໂຫວ່ນີ້ແມ່ນປະເພດ Path Traversal ທີ່ເກີດຂຶ້ນໃນຄຸນສົມບັດໃໝ່ OCI artifact. ເມື່ອ Compose ດຳເນີນການ OCI layers, ມັນຈະເຊື່ອຖືຂໍ້ມູນ layer annotations ໂດຍບໍ່ມີການກວດສອບ.
ຜົນກະທົບ: ແຮັກເກີສາມາດສ້າງ malicious annotation (ຂໍ້ມູນທີ່ເປັນອັນຕະລາຍ) ເຊິ່ງເຮັດໃຫ້ Compose ຂຽນໄຟລ໌ໄປຍັງ ຕຳແໜ່ງໃດກໍໄດ້ ໃນລະບົບທີ່ process ນັ້ນມີສິດຂຽນ. ບັນຫາເກີດຈາກການທີ່ Compose ບໍ່ໄດ້ເຮັດ path normalization ຫຼື ກວດສອບວ່າ path ດັ່ງກ່າວ ຍັງຢູ່ໃນ cache directory ຫຼື ບໍ່, ເຮັດໃຫ້ຜູ້ໂຈມຕີສາມາດຫຼຸດພົ້ນອອກຈາກ cache directory ໄດ້.
ຜົນກະທົບຕໍ່ຜູ້ໃຊ້: ສົ່ງຜົນກະທົບຕໍ່ຜູ້ໃຊ້ງານ Docker Compose ທົ່ວໂລກທີ່ໃຊ້ໃນການຈັດການ workflow ຕ່າງໆ ເຊັ່ນ: CI/CD pipelines, local development stacks, ແລະ cloud workspaces.
ຄຳແນະນຳ: Docker ແນະນຳໃຫ້ຜູ້ໃຊ້ງານອັບເດດໄປທີ່ເວີຊັນ 2.40.2 ໂດຍດ່ວນ.

2. ⚠️ ຊ່ອງໂຫວ່ໃນ Docker Desktop ສຳລັບ Windows: EUVD-2025-36191 (ຄ່າ Severity 8.8)

ລາຍລະອຽດຊ່ອງໂຫວ່: ຊ່ອງໂຫວ່ນີ້ ແມ່ນປະເພດ DLL Hijacking ທີ່ເກີດຂຶ້ນໃນ Desktop Installer.exe. Installer ຈະຄົ້ນຫາໄຟລ໌ DLL ໃນໂຟລເດີ Downloads ຂອງຜູ້ໃຊ້ງານກ່ອນທີ່ຈະກວດສອບໃນ system directories.
ຜົນກະທົບ: ແຮັກເກີສາມາດວາງໄຟລ໌ DLL ທີ່ເປັນອັນຕະລາຍໄວ້ໃນໂຟລເດີ Downloads ເພື່ອ ຍົກລະດັບສິດທິ (privilege escalation) ໃນລະບົບ ຂອງຜູ້ໃຊ້ໄດ້.
ຄຳແນະນຳ: Docker ໄດ້ແກ້ໄຂບັນຫານີ້ແລ້ວໃນ Desktop version 4.49.0.
ຂໍ້ສັງເກດເພີ່ມເຕີມ: Docker ໄດ້ເຕືອນວ່າ release ຖັດໄປຈະຕ້ອງໃຊ້ Windows 10 22H2 ຫຼື Windows 11 23H2 ເປັນຢ່າງຕ່ຳ.

📣 ຂໍ້ແນະນຳສຳຄັນ:

ເພື່ອປ້ອງກັນລະບົບຂອງທ່ານຈາກການໂຈມຕີທີ່ອາດເກີດຂຶ້ນ, ຂໍໃຫ້ຜູ້ໃຊ້ງານ Docker Compose ແລະ Docker Desktop ທຸກທ່ານ ດຳເນີນການອັບເດດໃຫ້ເປັນເວີຊັນຫລ້າສຸດຕາມທີ່ກຳນົດຂ້າງເທິງນີ້ ໂດຍທັນທີ.