CVE-2026-33997
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Moby (Docker) przed wersją 29.3.1 ma podatność, która pozwala ominąć walidację uprawnień wtyczek podczas instalacji. Demon może zaakceptować zestaw uprawnień różniący się od zatwierdzonego przez użytkownika, a w przypadku wtyczek z jednym uprawnieniem porównanie w ogóle nie jest wykonywane.
Ocena ryzyka
Atakujący może zainstalować wtyczkę z nadmiernymi uprawnieniami, co może prowadzić do eskalacji uprawnień i naruszenia bezpieczeństwa kontenerów.
Rekomendacja
Zaktualizuj Moby/Docker do wersji 29.3.1 lub nowszej, która zawiera poprawkę logiki porównywania uprawnień.
Inne podatności w Moby
Zobacz wszystkie- CVE-2026-34040Wysokie
Moby to otwarte źródło frameworka kontenerowego. Przed wersją 29.3.1 wykryto podatność, która pozwala atakującym na ominięcie wtyczek autoryzacyjnych (AuthZ). Problem został naprawiony w wersji 29.3.1.
- CVE-2026-41567Wysokie
Moby (Docker Engine) przed wersjami 29.5.1 i v2.0.0-beta.14 zawiera podatność, w której podczas rozpakowywania archiwum w kontenerze demon używa binariów dekompresji z systemu plików kontenera. Złośliwy obraz może podmienić te binaria, co prowadzi do wykonania kodu z pełnymi uprawnieniami demona.
Oryginalny opis (angielski, źródło NVD)
Moby is an open source container framework. Prior to version 29.3.1, a security vulnerability has been detected that allows plugins privilege validation to be bypassed during docker plugin install. Due to an error in the daemon's privilege comparison logic, the daemon may incorrectly accept a privilege set that differs from the one approved by the user. Plugins that request exactly one privilege are also affected, because no comparison is performed at all. This issue has been patched in version 29.3.1.