CVE-2020-7606

docker-compose-remote-api versões 0.1.4 e anteriores

A vulnerabilidade permite a execução de comandos arbitrários devido à validação insuficiente de argumentos. No arquivo ‘index.js’ do pacote, a função exec(serviceName, cmd, fnStdout, fnStderr, fnExit) utiliza a variável serviceName, que pode ser controlada pelos usuários sem qualquer sanitização. Isso permite que um invasor remoto execute comandos arbitrários no sistema alvo.

Para as versões 0.1.4 e anteriores do docker-compose-remote-api, como solução temporária, considere desativar a função exec(serviceName, cmd, fnStdout, fnStderr, fnExit) até que um patch esteja disponível. Restrinja o acesso ao arquivo index.js para minimizar o risco de exploração. Evite usar a variável serviceName na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.