TMA-DOCKER-5.32
Ensure that the Docker socket is not mounted inside any containers
KritischStufe 1Automatisiertdocker
Beschreibung
A container with the Docker socket mounted can start privileged containers and fully control the host. The audit inspects every running container (docker ps -q) and prints the offending names; a host with no running containers is compliant.
So wird geprüft
Prüfmethode: Shell-Befehl
shell
ids=$(docker ps -q) || exit 1; [ -z "$ids" ] && { echo compliant; exit 0; }; out=$(docker inspect --format '{{.Name}}{{range .Mounts}} {{.Source}}{{end}}' $ids) || exit 1; bad=$(printf '%s\n' "$out" | awk '/docker\.sock/{print $1}'); [ -z "$bad" ] && echo compliant || printf '%s\n' "$bad"- Erwartete Ausgabe
compliant
So wird behoben
Behebungsmethode: Anleitung oder Infrastruktur-Patch
Redeploy without mounting /var/run/docker.sock; use a narrowly-scoped API proxy if a container genuinely needs Docker API access.
Eigenschaften
- Betriebssysteme
- Beliebig
- Tags
- dockerruntime
- Referenz
- CIS Docker Benchmark v1.9.0 - 5.32 Ensure that the Docker socket is not mounted inside any containers
Diesen Host prüfen
Führen Sie dies auf einem Rechner aus, den Sie prüfen dürfen. Der Scan ist schreibgeschützt.
shell
tmaegis scan --target docker