TCP Другое

Порт 2376 (Docker TLS)

Узнайте о порте 2376 (Docker TLS) - угрозы безопасности, уязвимости и применение. Найдите устройства с открытым портом 2376.

Краткая информация

Номер порта

2376

Протокол

TCP

Сервис

Docker TLS

Имя IANA

Docker TLS

Описание сервиса

Порт TCP 2376 обычно используется для защищенного (TLS) соединения с Docker Daemon. Docker Daemon - это серверный процесс, который управляет Docker-контейнерами. Использование TLS (Transport Layer Security) обеспечивает шифрование всего трафика между клиентом Docker и Docker Daemon, защищая от прослушивания и атак "человек посередине". Исторически, Docker Daemon по умолчанию принимал незашифрованные соединения, что создавало значительные риски безопасности. Впоследствии TLS был добавлен для безопасной удаленной работы с Docker.

На техническом уровне, при установлении соединения по порту 2376, происходит TLS handshake. Клиент и сервер обмениваются сертификатами для аутентификации друг друга. После успешной аутентификации устанавливается зашифрованный канал, по которому передаются команды управления контейнерами, образы и логи. Docker использует библиотеку Go для реализации TLS.

Для корректной работы TLS необходимо настроить Docker Daemon с использованием сертификатов и ключей. Обычно используются самоподписанные сертификаты или сертификаты, выданные доверенным центром сертификации (CA). Клиент Docker также должен быть настроен для использования этих сертификатов, чтобы установить доверительное соединение.

## Рекомендации по настройке файрвола

В идеале, порт 2376 должен быть заблокирован для любого внешнего доступа. Если необходимо удаленное управление Docker Daemon, следует разрешить доступ только с доверенных IP-адресов и всегда использовать TLS с надежной аутентификацией. Рассмотрите возможность использования VPN для дополнительной защиты. Регулярно обновляйте Docker и связанные с ним компоненты для исправления известных уязвимостей. Используйте брандмауэр хоста (например, iptables или firewalld) для ограничения доступа к порту 2376 только с доверенных источников.

Информация о безопасности

Использование порта 2376 без надлежащей конфигурации TLS может привести к серьезным проблемам безопасности. Неправильная настройка, например, использование слабых алгоритмов шифрования, устаревших версий TLS или отсутствие валидации сертификатов, может сделать систему уязвимой для атак. Если злоумышленник получит доступ к сертификатам и ключам, он сможет полностью контролировать Docker Daemon и, следовательно, все контейнеры, запущенные на этом хосте. Кроме того, открытый порт 2376 без аутентификации может позволить любому подключиться к Docker Daemon и выполнять команды, что приведет к захвату системы. Внутренние атаки также возможны, если злоумышленник имеет доступ к сети, где работает Docker Daemon.

Известные уязвимости

CVE	Название	Критичность	Описание
CVE-2019-5736	runC Container Escape	High	Уязвимость в runC, используемой Docker, позволяющая контейнеру получить доступ к файловой системе хоста.
CVE-2021-41091	Containerd cgroups v1/v2 race condition	High	Уязвимость в containerd, используемой Docker, позволяющая контейнеру обойти ограничения cgroups.
CVE-2020-15257	Containerd DNS poisoning	Medium	Уязвимость в containerd, позволяющая контейнеру отравлять DNS-кэш хоста.