Docker漏洞如何修复

本文目录导读：

1. 修复Docker Engine/守护进程漏洞
2. 修复镜像和容器内的应用漏洞
3. 保护运行中的容器
4. 定期进行漏洞扫描
5. 若漏洞为CVE-2024-21626（runc逃逸漏洞）

修复Docker漏洞通常涉及两个层面：Docker自身软件的漏洞（如守护进程漏洞、容器逃逸漏洞）以及镜像/容器内的应用漏洞（如代码漏洞、依赖库漏洞）,以下是针对不同情况的系统性修复指南。

修复Docker Engine/守护进程漏洞

这类漏洞影响Docker宿主机的安全,需要更新Docker本身。

核心步骤：升级到最新稳定版本

• 查看当前版本：

  docker version

• 更新Docker Engine：

  • Ubuntu/Debian：

    sudo apt-get update
    sudo apt-get install docker-ce docker-ce-cli containerd.io

  • CentOS/RHEL：

    sudo yum update docker-ce docker-ce-cli containerd.io

  • 使用官方脚本（通用，风险低）：

    curl -fsSL https://get.docker.com -o get-docker.sh
    sudo sh get-docker.sh

• 重启Docker服务：

  sudo systemctl restart docker

针对高危漏洞的紧急措施（如CVE-2019-5736、RunC漏洞）

如果无法立即更新,可以采用临时缓解方案：

• 限制用户权限：确保没有将docker组权限随意赋予非信任用户。
• 启用User Namespace remapping：将容器内的root用户映射为主机的非特权用户。

  # 编辑 /etc/docker/daemon.json
  {
    "userns-remap": "default"
  }
  # 重启docker
  systemctl restart docker

• 禁用某些高危功能（如不使用的Docker Swarm、API暴露等）。

修复镜像和容器内的应用漏洞

漏洞产生原因：基础镜像过旧（如使用了Ubuntu 16.04含Heartbleed漏洞）、依赖库有CVE、代码逻辑漏洞（如SQL注入）。

使用基础镜像扫描工具

• Trivy（推荐，开源且快）：

  trivy image your-image:tag

• Clair：集成到CI/CD中。
• Docker官方提供的 Docker Scout：

  docker scout quickview your-image:tag

安全重建镜像

• 使用最新基础镜像： 将FROM ubuntu:20.04改为FROM ubuntu:24.04或特定安全版本。
• 使用官方最小安全镜像：
  • alpine:3.19（体积小,CVE少）
  • golang:1.21-alpine（开发环境）
• 构建时更新包：

  # 在Dockerfile的同一RUN层里完成更新
  FROM ubuntu:24.04
  RUN apt-get update && apt-get upgrade -y && apt-get install -y your-package

• 删除不必要的工具：避免容器里包含curl、wget、apt等,减少攻击面。

启用Docker Content Trust（内容信任）

确保下载的镜像经过签名验证,防止中间人攻击：

export DOCKER_CONTENT_TRUST=1
docker pull nginx:latest  # 现在只接受签名镜像

保护运行中的容器

• 限制capability：不要使用--privileged，只添加最小权限。

  docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE your-image

• 使用只读文件系统：

  docker run --read-only --tmpfs /tmp your-image

• 设置资源限制：避免DoS攻击。

  docker run --memory=512m --cpus=0.5 your-image

定期进行漏洞扫描

建议集成到CI/CD流程中，例如GitLab CI使用Trivy：

scan:
  stage: test
  script:
    - trivy image --severity HIGH,CRITICAL --exit-code 1 $CI_REGISTRY_IMAGE

若漏洞为CVE-2024-21626（runc逃逸漏洞）

此高危漏洞影响Docker 25.0.0之前版本,修复方法：

• 升级Docker至25.0.2+或runc至1.1.12+。
• 临时方案：使用--security-opt seccomp=unconfined隔离进程（不推荐长期使用）。

重要提醒：修复后务必进行回归测试，确保业务不会意外中断，建议先在测试环境进行全量测试,再推向生产环境。