CVE-2024-29296
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 66 - wyżej niż 66% wszystkich znanych CVE
Streszczenie
W Portainer CE 2.19.4 wykryto podatność umożliwiającą enumerację użytkowników. Podczas procesu uwierzytelniania różnica w czasie odpowiedzi pozwala zdalnemu, nieuwierzytelnionemu atakującemu stwierdzić, czy dana nazwa użytkownika jest poprawna.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może zebrać listę prawidłowych nazw użytkowników, co ułatwia przeprowadzenie ukierunkowanych ataków siłowych lub socjotechnicznych na system Portainer.
Rekomendacja
Zaleca się aktualizację Portainer CE do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji warto rozważyć ograniczenie dostępu do interfejsu Portainer tylko z zaufanych sieci.
Inne podatności w Portainer CE
Zobacz wszystkie- CVE-2026-72533Wysokie
Podatność w Portainer CE do wersji 2.44.0 umożliwia ominięcie uwierzytelniania. Zalogowani użytkownicy z niskimi uprawnieniami mogą obejść kontrole autoryzacji proxy Dockera poprzez niekanoniczną normalizację URL, co pozwala na ominięcie całego oprogramowania pośredniczącego autoryzacji. Punkt końcowy proxy nie normalizuje ścieżek żądań przed zastosowaniem kontroli dostępu, co pozwala na różną interpretację żądań przez proxy i warstwę autoryzacji.
- CVE-2026-33590Wysokie
Domyślne ustawienia Portainer CE są niebezpieczne, ponieważ przyznają zwykłym użytkownikom (nie-administratorom) uprawnienia do dostępu do systemu plików hosta oraz wykonania kodu na poziomie hosta. Użytkownik uwierzytelniony, który ma dostęp do punktu końcowego, może wykorzystać te ustawienia do odczytu plików hosta lub uzyskania równoważnego dostępu do roota na hoście.
Oryginalny opis (angielski, źródło NVD)
A user enumeration vulnerability was found in Portainer CE 2.19.4. This issue occurs during user authentication process, where a difference in response time could allow a remote unauthenticated user to determine if a username is valid or not.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS