关于Docker Engine AuthZ 插件授权绕过漏洞 （CVE-2024-41110）

一、漏洞概述

漏洞名称：Docker Engine AuthZ 插件授权绕过漏洞 （CVE-2024-41110）

漏洞等级：高危

漏洞描述：DockerEngine是Docker的核心组件，是一 个开源的容器引擎，负责构建、运行和管理容器。Docker Engine 的 AuthZ 插件是一种用于实现Docker访问控制机制 的插件，可以实现对Docker API的细粒度访问控制，增强 Docker 的安全性。当配置为使用AuthZ插件时存在授权绕过 漏洞，威胁者可以通过将 Content-Length 设置为 0 的 API 请求来利用该漏洞，导致 Docker 守护进程将没有正文 的请求转发给AuthZ 插件，AuthZ插件可能会错误地批准该 请求，从而导致执行未授权操作，如权限提升等。

二、影响范围

Docker Engine >= v19.03.x 且使用AuthZ 插件的用户 易受该漏洞影响，不使用AuthZ插件或运行旧版 Docker Engine 的用户不易受到影响，以下产品可能包含受影响的 Docker Engine 版本：

  Docker-CE <= v19.03.15
  Docker-CE <= v20.10.27
  Docker-CE <= v23.0.14
  Docker-CE <= v24.0.9
  Docker-CE <= v25.0.5
  Docker-CE <= v26.0.2
  Docker-CE <= v26.1.4
  Docker-CE <= v27.0.3
  Docker-CE <= v27.1.0
  Docker Des