CVE-2025-62725

Exploitation de Docker Compose via Traversal de Chemins

Une faille de sécurité, identifiée comme CVE-2025-62725, affecte Docker Compose. Elle permet à des attaquants d’écrire des fichiers sur le système hôte en exploitant une mauvaise gestion des chemins dans les artefacts OCI distants. La vulnérabilité naît de la confiance accordée par Docker Compose aux informations de chemin contenues dans ces artefacts, sans validation adéquate.

Les attaquants peuvent manipuler des annotations pour contourner les répertoires de cache prévus et écrire des fichiers dans des emplacements arbitraires où le processus Compose dispose des droits d’écriture. Cette faille peut être exploitée en incitant un utilisateur à référencer un artefact malveillant, même via des commandes ne modifiant pas directement le système comme docker compose config ou docker compose ps. Une exploitation réussie pourrait mener à une compromission totale du système, par exemple en injectant une clé publique SSH dans le fichier authorized_keys.

Points Clés :

• Nature de la vulnérabilité : Traversal de chemins (path traversal).
• Composant affecté : Docker Compose.
• Mécanisme d’exploitation : Exploitation d’annotations dans des artefacts OCI distants pour écrire des fichiers hors du répertoire de cache.
• Impact potentiel : Compromission totale du système hôte.
• Vecteurs d’attaque : Incitation des utilisateurs à référencer des artefacts OCI malveillants.
• Commandes potentiellement vulnérables : docker compose config, docker compose ps, et autres qui traitent des artefacts OCI.

Vulnérabilités :

• CVE : CVE-2025-62725

Recommandations :

Bien que l’article ne détaille pas explicitement les recommandations, les mesures générales à prendre face à ce type de vulnérabilité incluent :

• Mise à jour de Docker Compose : Appliquer les correctifs dès qu’ils sont disponibles.
• Validation des sources : Vérifier l’intégrité et la fiabilité des artefacts OCI et des sources de configurations Compose référencés.
• Principes de moindre privilège : S’assurer que le processus Docker Compose s’exécute avec le minimum de privilèges nécessaires.
• Surveillance : Mettre en place une surveillance des événements de sécurité liés à Docker Compose.

Source