CVE-2026-92543
WysokieCVSS 7.6Streszczenie
Podatność w Docker Engine dotycząca błędnej klasyfikacji rejestru jako niezabezpieczonego. Funkcja loadInsecureRegistries() domyślnie dodaje 127.0.0.0/8 i ::1/128 jako niezabezpieczone CIDR, a isCIDRMatch zwraca true, jeśli jakikolwiek adres hosta pasuje do tych zakresów. Atakujący może wykorzystać odpowiedź DNS zawierającą adres loopback i adres atakującego, co prowadzi do wyłączenia weryfikacji certyfikatów i umożliwienia połączenia przez HTTP.
Ocena ryzyka
Atakujący może przechwycić ruch do rejestru, podszyć się pod rejestr i wstrzyknąć złośliwe obrazy kontenerów, co może prowadzić do naruszenia integralności środowiska kontenerowego i wykonania złośliwego kodu w organizacji.
Rekomendacja
Zaktualizuj Docker Engine do wersji zawierającej poprawkę. Dodatkowo skonfiguruj rejestry jako bezpieczne (HTTPS) i unikaj używania niezabezpieczonych rejestrów w środowisku produkcyjnym.
Inne podatności w Docker Engine
Zobacz wszystkie- CVE-2016-8867Wysokie
Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.
- CVE-2015-3630Wysokie
Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
Docker Engine classifies a registry hostname as insecure using an any-match DNS check. loadInsecureRegistries() injects 127.0.0.0/8 and ::1/128 as insecure CIDRs by default. isCIDRMatch resolves all of the hostname's addresses and returns true if a single address is in the insecure CIDR list. Because the transport re-dials the hostname rather than the CIDR-matching address, a DNS answer set of one loopback IP plus a non-loopback attacker IP disables certificate verification and enables HTTP fallback for the registry connection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS