CVE-2024-4388: Chromium Docker Image Bypasses TLS Cert Validation via --ignore-certificate-errors

漏洞总结：Chromium 忽略证书错误导致 TLS 验证失效 漏洞概述 Chromium 在默认配置下启用了 参数，导致 TLS 证书验证被完全绕过。攻击者可利用此漏洞进行中间人攻击（MITM），伪造任意 HTTPS 网站（如 ）并成功通过浏览器验证，从而窃取用户敏感信息。 该漏洞源于 Docker 官方镜像 的启动脚本中硬编码了该参数，且未提供关闭选项。 --- 影响范围 受影响版本：所有基于 的 Docker 镜像（截至 CVE-2024-4388 发布时） 受影响组件：Chromium 浏览器（Docker 容器环境） CVSS 评分：7.1 / 10（高严重性） 影响对象：所有使用默认配置运行 Chromium 容器的用户，尤其是依赖 TLS 安全通信的应用场景 --- 修复方案 1. 移除危险参数：从 Chromium 启动命令中删除 参数。 2. 修改 Dockerfile 或启动脚本： - 若使用自定义 Dockerfile，确保不继承或添加该参数。 - 若使用官方镜像，需覆盖默认启动命令，例如： 3. 验证修复：启动容器后访问 应显示证书错误警告，而非自动加载。 > ⚠️ 注意：即使移除该参数，仍需确保容器内无其他机制（如代理、网络规则）绕过证书验证。 --- POC 代码 / 利用代码 1. 启动带漏洞的 Chromium 容器 2. 在容器内访问伪造网站（无需证书验证） > 实际测试中，攻击者可在本地搭建 的 HTTPS 服务，Chromium 将自动信任其自签名证书。 3. 验证漏洞存在（通过 curl 测试） 4. 修复后验证（应拒绝连接） --- 附加说明 该漏洞已被分配 CVE-2024-4388。 官方已发布补丁，建议升级至最新稳定版 Chromium 镜像。 对于无法立即升级的环境，可通过自定义启动参数临时规避风险。 --- ✅ 建议操作：立即检查所有使用 的容器部署，移除 参数，并更新镜像版本。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2024-4388: Chromium Docker Image Bypasses TLS Cert Validation via --ignore-certificate-errors

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2024-4388: Chromium Docker Image Bypasses TLS Cert Validation via --ignore-certificate-errors

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！