docker api未授权导致rce 漏洞修复

### Docker 2375端口未授权访问漏洞 #### 原因分析 Docker守护进程默认情况下会在TCP端口2375上提供远程API接口，如果此端口暴露于公共网络而没有适当的身份验证机制，则可能导致未经授权的用户能够连接到Docker引擎并执行各种操作。当配置不当或安全措施不足时，攻击者可以利用这一弱点来获取敏感信息甚至控制主机系统[^1]。 #### 影响范围 一旦存在这样的漏洞，潜在的影响非常严重。攻击者可以通过发送特定请求给目标服务器上的Docker服务来进行恶意活动，比如启动新的容器实例、下载镜像文件或是查看当前运行中的容器列表等。更糟糕的是，由于这些行为都是通过合法的服务通道完成的，因此很难被传统的防火墙所阻止。此外，对于那些启用了Swarm模式的环境来说，整个集群都可能受到威胁，因为管理节点之间的通信也是基于同样的API实现的[^2]。 #### 修复建议 为了防止此类安全隐患的发生，应当采取如下预防措施： - **启用TLS加密**：确保所有的API调用都被强制要求经过SSL/TLS协议传输，并且只接受来自已知客户端证书的连接尝试。 - **设置访问权限**：为不同的用户提供最小化的角色定义以及细粒度的操作许可策略；同时考虑部署额外的安全层如OAuth2.0或其他形式的身份认证框架。 - **限制公开暴露**：除非绝对必要，否则不应将Docker Engine监听地址绑定至外网可到达的位置。理想状态下应该仅限局域网内部机器间通讯或者借助反向代理等方式间接对外开放部分功能。 - **定期更新软件版本**：保持官方发布的最新稳定版安装包处于可用状态，及时修补已知缺陷以减少风险敞口。 ```bash # 修改docker.service文件中ExecStart参数添加选项-H unix:///var/run/docker.sock -H tcp://0.0.0.0:2376 --tlsverify --tlscacert=ca.pem --tlscert=server-cert.pem --tlskey=server-key.pem sudo systemctl daemon-reload && sudo systemctl restart docker ```