Analityczne wykorzystywanie plików cookies
Krytyczna luka w Portainer umożliwiająca nieautoryzowaną kontrolę wtyczek Docker
Krytyczna luka w Portainer pozwala standardowym użytkownikom na nieautoryzowaną kontrolę wtyczek Docker. Zalecana natychmiastowa aktualizacja i ograniczenie dostępu.
- CVSS
- 9.4 CRITICAL
- EPSS
- 24.71%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- portainer
Co wiadomo
W wersjach Portainer od 2.33.0 do przed 2.33.8, 2.39.2 oraz 2.41.0 występuje luka pozwalająca standardowym użytkownikom z dostępem do endpointu Docker na wykonywanie uprzywilejowanych operacji na wtyczkach, w tym instalację i aktywację. Luka dotyczy użytkowników z rolą Standard User lub inną z dostępem do endpointu przydzielonym przez RBAC.
Wpływ biznesowy
Luka o krytycznym poziomie CVSS 9.4 umożliwia nieuprawnionym użytkownikom Portainer przejęcie kontroli nad wtyczkami Dockera, co może prowadzić do eskalacji uprawnień i potencjalnego przejęcia środowiska kontenerowego. Organizacje korzystające z Portainer w wersjach podatnych powinny pilnie zweryfikować dostęp użytkowników i ograniczyć ryzyko nieautoryzowanych działań.
Rekomendowane działania administratora
Zaleca się natychmiastową aktualizację Portainer do wersji 2.33.8, 2.39.2 lub 2.41.0, gdzie luka została załatana. W międzyczasie warto ograniczyć dostęp użytkowników do endpointów Docker oraz przejrzeć i zweryfikować uprawnienia RBAC. Monitorowanie logów pod kątem nietypowych działań na wtyczkach również jest wskazane.