KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2019-14271 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
当Docker宿主机使用cp命令时，会调用辅助进程docker-tar，该进程没有被容器化，且会在运行时动态加载一些libnss*.so库。攻击者可以通过在容器中替换libnss*.so等库，将代码注入到docker-tar中。当Docker用户尝试从容器中拷贝文件时将会执行恶意代码，成功实现Docker逃逸，获得宿主机权限。
影响范围
应用：docker docker（影响面 Up to (excluding) 19.03.1）
系统：alpine_3.11 docker（影响面 Up to (excluding) 19.03.1）
系统：alpine_3.12 docker（影响面 Up to (excluding) 19.03.1-r0）
系统：alpine_3.13 docker（影响面 Up to (excluding) 19.03.1-r0）
系统：alpine_3.14 docker（影响面 Up to (excluding) 19.03.1-r0）
系统：alpine_3.15 docker（影响面 Up to (excluding) 19.03.1-r0）
系统：alpine_3.16 docker（影响面 Up to (excluding) 19.03.1-r0）
系统：alpine_3.17 docker（影响面 Up to (excluding) 19.03.1-r0）
……另有 8 项受影响环境，详见官方公告
解决方案
1、升级至安全版本
2、以非root用户权限运行容器，libnss_*.so库覆盖需要root权限，以非root用户权限运行容器可以阻止漏洞攻击。
参考信息
http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00084.html
https://docs.docker.com/engine/release-notes/
https://github.com/moby/moby/issues/39449
https://seclists.org/bugtraq/2019/Sep/21
https://security.netapp.com/advisory/ntap-20190828-0003/
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。