CVE-2026-33540
Təsvir
Distribution konteyner məzmununu paketləmək, göndərmək, saxlamaq və çatdırmaq üçün nəzərdə tutulmuş alətlər dəstidir. 3.1.0 versiyasından əvvəl, pull-through keş rejimində distribution, konfiqurasiya edilmiş yuxarı axın reyestrindən (upstream registry) qayıdan WWW-Authenticate çağırışlarını təhlil etməklə token autentifikasiyası son nöqtələrini müəyyən edir. Bearer çağırışındakı realm URL-i, onun yuxarı axın reyestri hostu ilə uyğunluğu yoxlanılmadan istifadə olunur. Nəticədə, hücumçunun nəzarətində olan yuxarı axın (və ya yuxarı axına qarşı MitM mövqeyində olan hücumçu), distribution-un konfiqurasiya edilmiş yuxarı axın etibarlılıq məlumatlarını basic auth vasitəsilə hücumçunun nəzarətində olan realm URL-inə göndərməsinə səbəb ola bilər. Bu zəiflik 3.1.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- distribution_project distribution3.1.0 və ya daha yeni versiya
- github.com/distribution/distribution/v33.1.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| distribution_project distribution | v < 3.1.0 | 3.1.0 |
| github.com/distribution/distribution/v3Go | v < 3.1.0 | 3.1.0 |
| github.com/distribution/distributionGo | v ≤ 2.8.3, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.