CVE-2019-13509 [高] | Security Vulnerability（Docker）

In Docker CE and EE before 18.09.8 (as well as Docker EE before 17.06.2-ee-23 and 18.x before 18.03.1-ee-10), Docker Engine in debug mode may sometimes add secrets to the debug log. This applies to a scenario where docker stack deploy is run to redeploy a stack that includes (non external) secrets. It potentially applies to other API users of the stack API if they resend the secret.

#	日付	旧 EPSS スコア	新 EPSS スコア	Δ（新 − 旧）
1	2026-06-15	1.55%	3.65%	+2.10%
2	2026-03-09	2.21%	1.55%	-0.66%
3	2025-12-28	—	2.21%	—

日付

旧 EPSS スコア

新 EPSS スコア

Δ（新 − 旧）

2026-06-15

1.55%

3.65%

+2.10%

2026-03-09

2.21%

1.55%

-0.66%

2025-12-28

—

2.21%

—

ベーススコア	バージョン	深刻度	ベクトル	悪用しやすさ	影響	スコアの出典
7.5	3.0	HIGH	`CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N` クリックして展開攻撃ベクター (AV:N) インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。攻撃の複雑さ (AC:L) 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。必要な権限 (PR:N) 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。ユーザーの関与 (UI:N) メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。スコープ (S:U) 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。機密性への影響 (C:H) 広範な機微データの読み取りや持ち出しが現実的。完全性への影響 (I:N) 改ざん・なりすましによる信頼毀損は軽微か、想定されない。可用性への影響 (A:N) 業務継続に支障が出るレベルの停止や劣化は想定されない。	3.9	3.6	[email protected]
5.0	2.0	MEDIUM	`AV:N/AC:L/Au:N/C:P/I:N/A:N` クリックして展開アクセス経路 (AV:N) ルーティング可能なネットワーク越しに、遠隔から到達・悪用しうる。アクセスの複雑さ (AC:L) 手順が短く、再現性が高い。認証 (AU:N) 認証を経ずに攻撃を完結できる。機密性への影響 (C:P) 機密性は部分的に損なわれる。完全性への影響 (I:N) 完全性は損なわれない。可用性への影響 (A:N) 可用性は損なわれない。	10.0	2.9	[email protected]

ベーススコア

バージョン

深刻度

ベクトル

悪用しやすさ

影響

スコアの出典

7.5

3.0

HIGH

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N クリックして展開

攻撃ベクター (AV:N): インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L): 攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:N): 事前のログインや昇格は不要で、匿名アクセスのまま踏み台にしうる。
ユーザーの関与 (UI:N): メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U): 影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:H): 広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:N): 改ざん・なりすましによる信頼毀損は軽微か、想定されない。
可用性への影響 (A:N): 業務継続に支障が出るレベルの停止や劣化は想定されない。

3.9

3.6

[email protected]

5.0

2.0

MEDIUM

AV:N/AC:L/Au:N/C:P/I:N/A:N クリックして展開

アクセス経路 (AV:N): ルーティング可能なネットワーク越しに、遠隔から到達・悪用しうる。
アクセスの複雑さ (AC:L): 手順が短く、再現性が高い。
認証 (AU:N): 認証を経ずに攻撃を完結できる。
機密性への影響 (C:P): 機密性は部分的に損なわれる。
完全性への影響 (I:N): 完全性は損なわれない。
可用性への影響 (A:N): 可用性は損なわれない。

10.0

2.9

[email protected]

CVE-2019-13509 の OS トラッカー

vendor	priority	summary	link
`alpine`	high	CVE-2019-13509: 1 source package rows (docker); 9 state rows across 7 repos (3.17-community, 3.18-community, 3.19-community, 3.20-community, 3.21-community, 3.22-community, edge-community); fixed 7, open 2.	https://security.alpinelinux.org/vuln/CVE-2019-13509
`debian`	not yet assigned	CVE-2019-13509 not yet assigned priority: Debian including 1 source packages (docker.io), 5 status rows across 5 suites (bookworm, bullseye, forky, sid, trixie): resolved 5.	https://security-tracker.debian.org/tracker/CVE-2019-13509
`redhat`	medium	—	https://access.redhat.com/security/cve/CVE-2019-13509
`suse`	medium	—	https://www.suse.com/security/cve/CVE-2019-13509/
`ubuntu`	low	CVE-2019-13509 low priority: Ubuntu including 1 source packages (docker.io), 5 status rows across 5 suites (bionic, disco, trusty, upstream, xenial): not-affected 3, DNE 1, released 1.	https://ubuntu.com/security/CVE-2019-13509

CVE-2019-13509 の影響を受けるソフトウェア／構成

ベンダー	製品	バージョン	生の CPE
docker	docker	>= 18.09.0, < 18.09.8	cpe:2.3:a:docker:docker:::::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:1:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:2:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:3:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:4:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:5:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:6:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:7:::enterprise:::*
docker	docker	17.03.2	cpe:2.3:a:docker:docker:17.03.2:8:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:1:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:10:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:11:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:12:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:13:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:15:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:16:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:17:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:18:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:19:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:2:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:20:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:21:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:22:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:3:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:4:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:5:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:6:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:7:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:8:::enterprise:::*
docker	docker	17.06.2	cpe:2.3:a:docker:docker:17.06.2:9:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:1:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:2:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:3:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:4:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:5:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:6:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:7:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:8:::enterprise:::*
docker	docker	18.03.1	cpe:2.3:a:docker:docker:18.03.1:9:::enterprise:::*
docker	docker	< 18.09.8	cpe:2.3:a:docker:docker:::::community:::*

CVE-2019-13509 の参考情報

URL	タグ
http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00084.html
http://www.securityfocus.com/bid/109253	Third Party Advisory VDB Entry
https://docs.docker.com/engine/release-notes/	Release Notes Vendor Advisory
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/N674WD3OBDPHLWY6EABRHQH5ON6SUJBU/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PFFBVE7O73TAVY2BCWXSA2OOSLJVCPXC/
https://seclists.org/bugtraq/2019/Sep/21
https://security.netapp.com/advisory/ntap-20190828-0003/
https://www.debian.org/security/2019/dsa-4521

URL

タグ

http://lists.opensuse.org/opensuse-security-announce/2019-08/msg00084.html

http://www.securityfocus.com/bid/109253

Third Party Advisory VDB Entry

https://docs.docker.com/engine/release-notes/

Release Notes Vendor Advisory

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/N674WD3OBDPHLWY6EABRHQH5ON6SUJBU/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PFFBVE7O73TAVY2BCWXSA2OOSLJVCPXC/

https://seclists.org/bugtraq/2019/Sep/21

https://security.netapp.com/advisory/ntap-20190828-0003/

https://www.debian.org/security/2019/dsa-4521