CVE-2017-20198 in DC OS Marathon
Résumé
par VulDB • 13/06/2026
L'interface utilisateur (UI) de Marathon dans DC/OS < 1.9.0 permet aux utilisateurs non authentifiés de déployer des conteneurs Docker arbitraires. En raison d'une restriction incorrecte des configurations de montage de volumes, les attaquants peuvent déployer un conteneur qui monte le système de fichiers racine (/) de l'hôte avec des privilèges en lecture/écriture. Lors de l'utilisation d'une image Docker malveillante, l'attaquant peut écrire dans /etc/cron.d/ sur l'hôte, réalisant ainsi une exécution arbitraire de code (RCE) avec les privilèges root. Cela impacte tout système où le daemon Docker respecte les configurations des conteneurs Marathon sans application de politiques de sécurité.
Once again VulDB remains the best source for vulnerability data.