تقدم ديبيان نسخها الخاصة من Docker (الحزمة docker.io) ومن containerd وrunc. ففي 16 أغسطس 2026 أصلحت النشرة DSA-6443-1 سبع ثغرات في Docker وأداة BuildKit المضمّنة فيه لديبيان 13 (trixie)، وفي 2 ديسمبر 2025 أصلحت DSA-6067-1 ثغرتين في containerd لديبيان 12 و13. وفي الوقت نفسه ما زال المتتبع الأمني لديبيان يعرض عددًا من ثغرات بيئة تشغيل الحاويات كثغرات مفتوحة، وهذا مهم حين تقرر مصدر حزم Docker لديك.
لمحة سريعة
| الحزمة | الإصدار | الإصدار المُصلَح | النشرة |
|---|---|---|---|
| docker.io | ديبيان 13 (trixie) | 26.1.5+dfsg1-9+deb13u1 | DSA-6443-1 (16 أغسطس 2026) |
| containerd | ديبيان 13 (trixie) | 1.7.24~ds1-6+deb13u1 | DSA-6067-1 (2 ديسمبر 2025) |
| containerd | ديبيان 12 (bookworm) | 1.6.20~ds1-1+deb12u2 | DSA-6067-1 (2 ديسمبر 2025) |
الخطورة: عالية. أعلى ثغرة مُصلَحة تقييمًا هي CVE-2026-34040، ويصنّفها مشروع Moby عالية (CVSS 3.1 8.8). ولا توجد أي ثغرة مذكورة هنا في قائمة CISA للثغرات المستغلة فعليًا (30 أكتوبر 2026).
ما الذي أُصلح
تقول ديبيان إن ثغرات Docker قد تؤدي إلى رفع الصلاحيات، أو الوصول إلى ملفات عشوائية على الخادم المضيف، أو تجاوز سياسات التفويض:
- التفويض والإضافات. تسمح CVE-2026-34040 بتجاوز إضافات التفويض (AuthZ)، وتسمح CVE-2026-33997 للأمر
docker plugin installبقبول إضافة بصلاحيات أكثر مما وُوفق عليه. وقد أصلحهما Moby في الإصدار 29.3.1. - docker cp. الثغرتان CVE-2026-41568 وCVE-2026-42306 حالتا سباق أثناء
docker cpيمكن لحاوية خبيثة استغلالهما لإنشاء ملفات على المضيف أو إعادة توجيه نقطة ربط (bind mount). أما CVE-2026-41567 فتتعلق بطريقة عثور الخدمة على أدوات فك الضغط للأرشيفات المرفوعة إلى الحاوية. - BuildKit. تسمح CVE-2026-33747 لواجهة BuildKit مخصصة بكتابة ملفات خارج مجلد حالة BuildKit، وتسمح CVE-2026-33748 بقراءة ملفات خارج مستودع Git المنسوخ عبر جزء مصمم من الرابط.
وفي containerd أصلحت النشرة DSA-6067-1 الثغرة CVE-2024-25621، وهي صلاحيات افتراضية واسعة أكثر من اللازم على مجلدات مثل /var/lib/containerd قد تتيح رفع الصلاحيات محليًا، والثغرة CVE-2025-64329، وهي استنزاف للذاكرة في تنفيذ CRI Attach.
ما الذي ما زال مفتوحًا
عند مراجعتنا للمتتبع في 31 أكتوبر 2026:
- Docker على ديبيان 12. لا يوجد في حزمة
docker.ioعلى bookworm (الإصدار 20.10.24) إصلاح لثغرات Docker الخاصة بعام 2026 المذكورة أعلاه. - runc. الثغرات CVE-2025-31133 وCVE-2025-52565 وCVE-2025-52881، المنشورة في نوفمبر 2025، مدرجة كمفتوحة في bookworm وtrixie. ويصنّف مشروع runc الثغرة CVE-2025-31133 عالية، ويذكر سجلها احتمال كشف معلومات المضيف أو حجب الخدمة أو الهروب من الحاوية، وقد أصلحها المشروع في الإصدارين 1.2.8 و1.3.3.
- containerd على ديبيان 13. عدة ثغرات من 2026 مفتوحة، منها CVE-2026-53488 التي يصنّفها containerd حرجة: تمرير تسميات الصورة (labels) عبر إضافة CRI، وهي الواجهة التي يستخدمها Kubernetes، قد يؤدي إلى تنفيذ أوامر على المضيف. وهي تصيب containerd 1.7 قبل 1.7.33، بينما يأتي trixie بالإصدار 1.7.24.
وحزمة docker.io في ديبيان تعتمد على حزمتي containerd وrunc من ديبيان، لذا تنطبق هذه الفجوات على Docker المثبّت من ديبيان.
هل أنت متأثر؟
dpkg -l docker.io docker-ce containerd containerd.io runc 2>/dev/null | grep '^ii'
apt policy docker.io containerd runc
sudo docker version --format '{{.Server.Version}}'إذا ظهرت docker.io وcontainerd وrunc فأنت تستخدم حزم ديبيان. وإذا ظهرت docker-ce وcontainerd.io فأنت تستخدم مستودع Docker الخاص، الذي يضم containerd وrunc ضمن حزمه وتحدّثه Docker نفسها؛ فقارن تلك الإصدارات بملاحظات إصدار Docker.
طريقة التحديث
لحزم ديبيان:
sudo apt update
sudo apt install --only-upgrade docker.io containerd runcأما لحزم Docker فيجلب الأمر المعتاد sudo apt update && sudo apt upgrade أحدث docker-ce وdocker-ce-cli وcontainerd.io. وإن أردت التحويل، فإن دليل تثبيت Docker على ديبيان يسرد حزم التوزيعة التي يجب إزالتها أولًا (docker.io وdocker-compose وdocker-doc وdocker-buildx وpodman-docker وcontainerd وrunc)؛ وتبقى الصور ووحدات التخزين في /var/lib/docker، لكن خطط للتغيير واختبره. ولا تخلط بين المصدرين.
إعادة تشغيل الخدمة أم الخادم؟
لا حاجة لإعادة تشغيل الخادم، لكن الخدمتين يجب أن تُعاد تشغيلهما لتحميل الإصلاح. وكما توضح صفحة live restore في وثائق Docker، تتوقف الحاويات العاملة افتراضيًا عند توقف خدمة Docker، ولا تعود تلقائيًا إلا الحاويات التي لها سياسة إعادة تشغيل، لذا حدد لذلك موعدًا:
sudo systemctl restart containerd dockerقلّل الانكشاف
معظم هذه الثغرات يحتاج صورة أو ملف Dockerfile أو واجهة BuildKit أو حاوية خبيثة. وتنص وثائق الأمان في Docker كذلك على ألا يتحكم في خدمة Docker إلا المستخدمون الموثوقون. اسحب الصور من مصادر تثق بها وثبّتها بالبصمة (digest)، ولا تضف مستخدمين غير موثوقين إلى مجموعة docker ولا تكشف واجهة Docker البرمجية على الشبكة، وافصل أجهزة البناء عن الإنتاج حيثما أمكن.
المصادر
- security-tracker.debian.org/tracker/DSA-6443-1
- debian.org/security/2026/dsa-6443
- lists.debian.org/debian-security-announce/2026/msg00354.html
- security-tracker.debian.org/tracker/DSA-6067-1
- debian.org/security/2025/dsa-6067
- lists.debian.org/debian-security-announce/2025/msg00233.html
- security-tracker.debian.org/tracker/source-package/docker.io
- security-tracker.debian.org/tracker/source-package/containerd
- security-tracker.debian.org/tracker/source-package/runc
- github.com/moby/moby/security/advisories/GHSA-x744-4wpc-v9h2
- github.com/opencontainers/runc/security/advisories/GHSA-9493-h29p-rfm2
- github.com/containerd/containerd/security/advisories/GHSA-xhf5-7wjv-pqxp
- cve.org/CVERecord?id=CVE-2026-34040
- cve.org/CVERecord?id=CVE-2026-33747
- cve.org/CVERecord?id=CVE-2024-25621
- cve.org/CVERecord?id=CVE-2025-31133
- cve.org/CVERecord?id=CVE-2026-53488
- packages.debian.org/trixie/docker.io
- docs.docker.com/engine/install/debian
- docs.docker.com/engine/security
- cisa.gov/known-exploited-vulnerabilities-catalog
- docs.docker.com/engine/daemon/live-restore
Comments
0 total · 0 threads