Vulnerabilidades de Dokku

Dokku is a docker-powered platform as a service. In Dokku versions before 0.38.25, a user with app-level Dokku access and remote SSH access to execute docker-options commands can store arbitrary strings through the docker-options plugin, and those strings are later concatenated into DOCKER_ARGS and processed by Bash eval during build, deploy, or run operations. Shell command substitutions in the stored values are interpreted on the host, allowing arbitrary command execution with the privileges of the dokku operating-system user. This issue is fixed in version 0.38.25.

Dokku é um PaaS baseado em Docker. Antes da 0.38.7, o plugin cron utiliza comandos no arquivo app.json para gerenciar o cron do sistema executado como o usuário Dokku. Um comando do app.json que utilize caracteres especiais de shell, incluindo, entre outros, > ou ;, pode escapar do contêiner Docker e executar comandos no host como o usuário Dokku. Esta vulnerabilidade foi corrigida na 0.38.7.

Dokku é uma PaaS baseada em Docker. Antes da versão 0.38.2, a expressão regular de validação do nome do app (^[a-z0-9][^/:_A-Z]*$) permite metacaracteres de shell. Quando um usuário autenticado faz push para um remoto git com um nome de app elaborado, o nome é incorporado sem aspas em um script de hook pre-receive do bash, por meio de um heredoc sem aspas (<<EOF em vez de <<'EOF') em fn-git-create-hook() em plugins/git/internal-functions:378. No git push, o bash interpreta o ponto e vírgula como separador de comandos, executando comandos arbitrários como o usuário dokku. Esta vulnerabilidade foi corrigida na versão 0.38.2.