Krytyczna luka w Tugtainer Agent umożliwiająca nieautoryzowany dostęp do API Docker

Co wiadomo

W wersjach Tugtainer Agent przed 1.30.4 brak konfiguracji AGENT_SECRET pozwala na nieautoryzowany dostęp do API zarządzania Dockerem. Funkcja weryfikacji podpisu żądań błędnie akceptuje puste wartości, co otwiera dostęp do chronionych zasobów bez uwierzytelnienia.

Wpływ biznesowy

Ta luka o krytycznym poziomie CVSS 9.8 może umożliwić atakującym zdalny dostęp do zarządzania kontenerami Docker bez autoryzacji, co stwarza poważne ryzyko dla integralności i bezpieczeństwa środowisk kontenerowych. Operatorzy IT powinni traktować tę podatność priorytetowo, ponieważ może ona prowadzić do przejęcia kontroli nad infrastrukturą kontenerową.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie Tugtainer Agent do wersji 1.30.4 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, należy zweryfikować konfigurację AGENT_SECRET i ograniczyć dostęp do API Docker tylko do zaufanych sieci. Dodatkowo warto przejrzeć logi dostępu pod kątem podejrzanych działań. DataHouse wspiera w weryfikacji wersji oprogramowania oraz w zarządzaniu aktualizacjami i ograniczaniu ekspozycji sieciowej.

Źródła

• NVD
• Reference
• Reference
• Reference