CVE-2026-92543
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
Podatność w Docker Engine dotycząca błędnej klasyfikacji rejestru jako niezabezpieczonego. Funkcja loadInsecureRegistries() domyślnie dodaje 127.0.0.0/8 i ::1/128 jako niezabezpieczone CIDR, a isCIDRMatch zwraca true, jeśli jakikolwiek adres hosta pasuje do tych zakresów. Atakujący może wykorzystać odpowiedź DNS zawierającą adres loopback i adres atakującego, co prowadzi do wyłączenia weryfikacji certyfikatów i umożliwienia połączenia przez HTTP.
Ocena ryzyka
Atakujący może przechwycić ruch do rejestru, podszyć się pod rejestr i wstrzyknąć złośliwe obrazy kontenerów, co może prowadzić do naruszenia integralności środowiska kontenerowego i wykonania złośliwego kodu w organizacji.
Rekomendacja
Zaktualizuj Docker Engine do wersji zawierającej poprawkę. Dodatkowo skonfiguruj rejestry jako bezpieczne (HTTPS) i unikaj używania niezabezpieczonych rejestrów w środowisku produkcyjnym.
Inne podatności w Docker Engine
Zobacz wszystkie- CVE-2025-54388Średnie
W wersjach Docker Engine 28.2.0 do 28.3.2 przeładowanie usługi firewalld usuwa wszystkie reguły iptables, w tym te utworzone przez Docker. Wersje przed 28.3.3 nie odtwarzają reguł blokujących zewnętrzny dostęp do kontenerów, przez co kontenery z portami opublikowanymi na localhost stają się dostępne z maszyn zdalnych mających routing do mostka Docker. Problem naprawiono w wersji 28.3.3.
- CVE-2016-8867Wysokie
Docker Engine w wersji 1.12.2 umożliwił wykorzystanie zdolności ambientnych z błędnie skonfigurowanymi politykami zdolności. To pozwoliło złośliwym obrazom na ominięcie uprawnień użytkownika i dostęp do plików w systemie plików kontenera lub zamontowanych woluminach.
- CVE-2015-3630Wysokie
Docker Engine przed wersją 1.6.1 stosuje słabe uprawnienia dla kilku katalogów w systemie, co pozwala lokalnym użytkownikom na modyfikację hosta oraz uzyskanie wrażliwych informacji.
Oryginalny opis (angielski, źródło NVD)
Docker Engine classifies a registry hostname as insecure using an any-match DNS check. loadInsecureRegistries() injects 127.0.0.0/8 and ::1/128 as insecure CIDRs by default. isCIDRMatch resolves all of the hostname's addresses and returns true if a single address is in the insecure CIDR list. Because the transport re-dials the hostname rather than the CIDR-matching address, a DNS answer set of one loopback IP plus a non-loopback attacker IP disables certificate verification and enables HTTP fallback for the registry connection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS