CVE-2017-20198
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：D2iQ DC/OS Marathon 卷挂载配置限制不足。
🔥 **后果**：攻击者可利用此缺陷，**任意部署 Docker 容器**，彻底破坏容器隔离性。
Q2根本原因？（CWE/缺陷点）
🛡️ **CWE**：CWE-732（权限/访问控制问题）。
🔍 **缺陷点**：对**卷挂载配置**的验证逻辑存在漏洞，未能正确限制挂载行为。
Q3影响谁？（版本/组件）
📦 **厂商**：D2iQ, Inc.
🏷️ **产品**：DC/OS Marathon。
⚠️ **版本**：**1.9.0 之前**的所有版本均受影响。
Q4黑客能干啥？（权限/数据）
💀 **黑客能力**：
1. **任意部署**：无需授权即可启动恶意容器。
2. **权限提升**：通过容器逃逸或特权挂载，获取宿主机控制权。
3. **数据窃取**：访问挂载卷中的敏感数据。
Q5利用门槛高吗？（认证/配置）
📶 **利用门槛**：
- 需具备 **Marathon API 访问权限**（通常需认证）。
- 利用点在于**配置解析**，而非网络协议漏洞，配置得当可降低风险。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp 现状**：
- **有现成 Exp**：Metasploit 模块 (`linux/http/dcos_marathon.rb`) 已收录。
- **公开 PoC**：Exploit-DB (42134) 提供利用代码。
- **技术详解**：RSM Warroom 有详细分析报告。
Q7怎么自查？（特征/扫描）
🔍 **自查方法**：
1. 检查 Marathon 版本是否 **< 1.9.0**。
2. 审计 API 请求日志，查看异常的 **volume mount** 配置提交。
3. 使用 Metasploit 模块进行验证扫描。
Q8官方修了吗？（补丁/缓解）
🩹 **官方修复**：
- 修复方案：**升级至 DC/OS Marathon 1.9.0 或更高版本**。
- 参考链接：dcos.io 官方文档。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **最小权限**：严格限制 Marathon API 的访问 IP 和账号权限。
2. **网络隔离**：将 Marathon 管理界面置于内网，禁止公网直接访问。
3. **配置审计**：监控并拒绝包含可疑卷挂载路径的部署请求。
Q10急不急？（优先级建议）
⚡ **优先级**：🔴 **高**。
- 理由：涉及**容器逃逸**和**任意代码执行**风险，且有成熟 Exp 可用，建议立即升级或实施网络隔离。