CVE-2025-54410
NiskieCVSS 3.3Streszczenie
Moby (Docker Engine) w wersjach przed 28.0.0 ma podatność związaną z firewalld. Po przeładowaniu firewalld Docker nie odtwarza reguł iptables izolujących sieci mostkowe, co pozwala każdemu kontenerowi na dostęp do wszystkich portów innych kontenerów w różnych sieciach mostkowych na tym samym hoście. Ochrona pozostaje tylko dla kontenerów w sieciach --internal.
Ocena ryzyka
Naruszenie segmentacji sieci między kontenerami stwarza istotne ryzyko w środowiskach wielodostępnych, umożliwiając nieautoryzowany dostęp między kontenerami.
Rekomendacja
Zaktualizuj Moby/Docker do wersji zawierającej poprawkę lub zastosuj obejście: po przeładowaniu firewalld zrestartuj demona Docker, odtwórz sieci mostkowe albo użyj trybu rootless.
Inne podatności w Moby
Zobacz wszystkie- CVE-2026-34040Wysokie
Moby to otwarte źródło frameworka kontenerowego. Przed wersją 29.3.1 wykryto podatność, która pozwala atakującym na ominięcie wtyczek autoryzacyjnych (AuthZ). Problem został naprawiony w wersji 29.3.1.
- CVE-2026-41567Wysokie
Moby (Docker Engine) przed wersjami 29.5.1 i v2.0.0-beta.14 zawiera podatność, w której podczas rozpakowywania archiwum w kontenerze demon używa binariów dekompresji z systemu plików kontenera. Złośliwy obraz może podmienić te binaria, co prowadzi do wykonania kodu z pełnymi uprawnieniami demona.
- CVE-2026-33997Średnie
Moby (Docker) przed wersją 29.3.1 ma podatność, która pozwala ominąć walidację uprawnień wtyczek podczas instalacji. Demon może zaakceptować zestaw uprawnień różniący się od zatwierdzonego przez użytkownika, a w przypadku wtyczek z jednym uprawnieniem porównanie w ogóle nie jest wykonywane.
Oryginalny opis (angielski, źródło NVD)
Moby is an open source container framework developed by Docker Inc. that is distributed as Docker Engine, Mirantis Container Runtime, and various other downstream projects/products. A firewalld vulnerability affects Moby releases before 28.0.0. When firewalld reloads, Docker fails to re-create iptables rules that isolate bridge networks, allowing any container to access all ports on any other container across different bridge networks on the same host. This breaks network segmentation between containers that should be isolated, creating significant risk in multi-tenant environments. Only containers in --internal networks remain protected. Workarounds include reloading firewalld and either restarting the docker daemon, re-creating bridge networks, or using rootless mode. Maintainers anticipate a fix for this issue in version 25.0.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS