🛠️📂 ช่องโหว่ CVE-2025-62725 ใน Docker Compose เปิดทางให้เขียนทับไฟล์ใดก็ได้บนเครื่อง — แม้ใช้แค่คำสั่ง read-only ช่องโหว่ระดับสูงใน Docker Compose (CVE-2025-62725, CVSS 8.9) เปิดช่องให้ผู้โจมตีสามารถใช้ไฟล์ compose จากแหล่ง OCI ปลอมเพื่อเขียนทับไฟล์ใดก็ได้บนเครื่อง host โดยไม่ต้องรัน container — แค่ใช้คำสั่ง read-only เช่น docker compose config ก็เพียงพอแล้ว. ✅ Docker Compose เชื่อข้อมูล path จาก artifact โดยไม่ตรวจสอบ ➡️ เมื่อใช้ไฟล์ compose จาก remote OCI registry ที่มี annotation เช่น com.docker.compose.extends หรือ com.docker.compose.envfile ➡️ Compose จะรวม path ที่ผู้โจมตีระบุไว้กับ cache directory แล้วเขียนไฟล์ลงไปโดยตรง ✅ สามารถใช้ path traversal เช่น ../../../../../etc/passwd เพื่อเขียนทับไฟล์ระบบ ➡️ ช่องโหว่นี้เกิดจากการเชื่อมั่น annotation โดยไม่มีการ sanitize ➡️ ส่งผลให้ผู้โจมตีสามารถหลุดออกจาก cache directory และเข้าถึงไฟล์ใดก็ได้บนเครื่อง ✅ คำสั่ง read-only ก็สามารถ trigger ช่องโหว่ได้ ➡️ เช่น docker compose config, docker compose ps ซึ่งมักใช้ใน CI/CD pipeline หรือขั้นตอน linting ➡️ ไม่จำเป็นต้อง build หรือ run container ก็สามารถโจมตีได้ ✅ กระทบทุกแพลตฟอร์มที่ใช้ remote OCI compose artifacts ➡️ Docker Desktop, Linux binaries, CI runners, cloud dev environments ➡️ โดยเฉพาะระบบที่ดึงไฟล์ compose จาก registry ภายนอกหรือ third-party ✅ Docker ได้ออกแพตช์ในเวอร์ชัน Compose v2.40.2 ➡️ เพิ่มการตรวจสอบ path และการ sanitize annotation ➡️ แนะนำให้ผู้ใช้ทุกระบบอัปเดตทันที ‼️ การใช้ไฟล์ compose จากแหล่งที่ไม่เชื่อถือมีความเสี่ยงสูง ⛔ แม้จะใช้แค่คำสั่ง read-only ก็สามารถถูกโจมตีได้ ⛔ CI/CD pipeline ที่ดึงไฟล์จาก registry อัตโนมัติอาจเป็นเป้าหมาย ‼️ ระบบที่ไม่ได้อัปเดต Compose v2.40.2 เสี่ยงต่อการถูกเขียนทับไฟล์สำคัญ ⛔ เช่น /etc/passwd, .bashrc, หรือไฟล์ config อื่น ๆ ⛔ อาจถูกใช้เป็นช่องทางฝัง backdoor หรือเปลี่ยนพฤติกรรมระบบ ‼️ ควรหลีกเลี่ยงการใช้ annotation ที่ไม่จำเป็นใน OCI compose artifacts ⛔ หรือใช้ระบบตรวจสอบก่อนนำเข้าไฟล์จาก registry https://securityonline.info/docker-compose-path-traversal-cve-2025-62725-allows-arbitrary-file-overwrite-via-oci-artifacts/