CVE-2026-44849
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność w Portainer Community Edition umożliwia ominięcie siedmiu ograniczeń bezpieczeństwa punktów końcowych (EndpointSecuritySettings) podczas tworzenia usług Docker Swarm. Ograniczenia te są egzekwowane przy standardowym tworzeniu kontenerów, ale nie są stosowane w API usług Swarm, co pozwala nieuprzywilejowanym użytkownikom na uruchamianie kontenerów z niebezpiecznymi konfiguracjami.
Ocena ryzyka
Organizacja narażona jest na ryzyko eskalacji uprawnień i naruszenia izolacji kontenerów, ponieważ nieautoryzowani użytkownicy mogą uruchamiać kontenery w trybie uprzywilejowanym, montować urządzenia hosta, używać niebezpiecznych sysctlów lub omijać profile Seccomp/AppArmor.
Rekomendacja
Należy niezwłocznie zaktualizować Portainer CE do wersji 2.33.8, 2.39.2 lub 2.41.0, w zależności od używanej gałęzi wydań. Po aktualizacji zweryfikować konfigurację ograniczeń EndpointSecuritySettings dla wszystkich środowisk.
Inne podatności w Portainer
Zobacz wszystkie- CVE-2026-44881Krytyczne
Portainer Community Edition od wersji 2.33.0 do 2.33.8, 2.39.2 i 2.41.0 zawiera podatność polegającą na tym, że podczas tworzenia lub aktualizacji stosów z repozytoriów Git, go-git v5 tworzy dowiązania symboliczne (symlink) na systemie plików hosta bez walidacji, z wyjątkiem pliku .gitmodules. Uwierzytelniony użytkownik z uprawnieniami do zarządzania stosami Git może umieścić w repozytorium plik docker-compose.yml jako dowiązanie symboliczne do dowolnej ścieżki, co powoduje odczytanie zawartości tego pliku przez endpoint GET /api/stacks/{id}/file i zwrócenie jej w odpowiedzi HTTP.
- CVE-2026-44885Średnie
Podatność w Portainer Community Edition od wersji 2.33.0 do 2.33.7 pozwala na zapis plików w dowolnej lokalizacji systemu plików serwera poprzez spreparowany archiwum .tar.gz. Funkcja ExtractTarGz nie zabezpiecza przed atakiem typu directory traversal, co umożliwia nadpisanie krytycznych plików systemowych.
- CVE-2026-44883Wysokie
Portainer Community Edition w wersjach od 2.33.0 do 2.33.8, 2.39.2 i 2.41.0 akceptuje tokeny JWT w parametrze URL ?token=, co prowadzi do wycieku tokenów przez logi proxy, historię przeglądarki i nagłówki Referer. Wycieknięty token umożliwia pełny dostęp do uprawnień użytkownika do czasu wygaśnięcia (domyślnie 8 godzin).
- CVE-2026-44882Wysokie
W Portainer Community Edition od wersji 2.33.0 do 2.33.7 występuje podatność polegająca na braku instrukcji return po błędzie walidacji tokena w warstwie pośredniczącej kubeClientMiddleware. Powoduje to, że żądanie użytkownika z nieprawidłowym tokenem jest przekazywane do klastra Kubernetes, omijając kontrolę autoryzacji.
- CVE-2026-44850Wysokie
Portainer Community Edition w wersjach od 2.33.0 do 2.33.7, 2.39.1 i 2.40.0 zawiera lukę w zabezpieczeniu ustawienia Disable bind mounts dla nieadministratorów. Mechanizm sprawdzający to ustawienie analizował tylko tablicę HostConfig.Binds, pomijając równoważną tablicę HostConfig.Mounts, co pozwalało uwierzytelnionym użytkownikom na montowanie dowolnych ścieżek hosta do kontenerów.
- CVE-2026-44848Wysokie
W Portainer Community Edition w wersjach od 2.33.0 do 2.33.8, 2.39.2 i 2.41.0, punkty końcowe zarządzania wtyczkami Docker (/plugins/*) nie były zarejestrowane z odpowiednim handlerem. Umożliwiło to standardowym użytkownikom z dostępem do endpointu wykonywanie uprzywilejowanych operacji na wtyczkach, takich jak instalacja i włączanie, bezpośrednio na demonie Docker.
Oryginalny opis (angielski, źródło NVD)
Portainer Community Edition is a lightweight service delivery platform for containerized applications that can be used to manage Docker, Swarm, Kubernetes and ACI environments. From 2.33.0 to before 2.33.8, 2.39.2, and 2.41.0, Portainer enforces seven EndpointSecuritySettings restrictions that administrators configure to restrict the container configurations non-admin users can launch: privileged mode, host PID namespace, device mapping, capabilities, sysctls, security-opt (Seccomp / AppArmor), and bind mounts. These restrictions are enforced on the standard container creation path, but several of them are not applied on the Docker Swarm service API. This vulnerability is fixed in 2.33.8, 2.39.2, and 2.41.0.