CVE-2026-41567

Moby açıq mənbəli konteyner freymvorkudur. 29.5.1 versiyasından əvvəlki versiyalarda və moby/moby v2-nin v2.0.0-beta.14 versiyasından əvvəlki versiyalarında, sıxılmış arxiv `PUT /containers/{id}/archive` vasitəsilə konteynerə yükləndikdə və ya `docker cp -` ilə ötürüldükdə, əməliyyatların yanlış ardıcıllığı səbəbindən daemon sıxılmanı açan binar faylları (məsələn, `xz` və ya `unpigz`) host sisteminin yox, konteynerin fayl sistemindən təyin edir. Trojanlaşdırılmış sıxılmanı açan binar faylı ehtiva edən zərərli konteyner imici, istifadəçi həmin konteynerə sıxılmış (xz və ya gzip) arxiv yüklədikdə, host root UID və məhdudiyyətsiz imkanlar daxil olmaqla, tam daemon imtiyazları ilə ixtiyari kodun icrasını təmin edə bilər. Bu problem Docker Engine 29.5.1 və moby/moby v2.0.0-beta.14 versiyalarında düzəldilib. Alternativ həll yollarına yalnız etibarlı imiclərdən konteynerlərin işə salınması, `PUT /containers/{id}/archive` son nöqtəsinə girişi məhdudlaşdırmaq üçün avtorizasiya plaginlərindən istifadə edilməsi və etibarsız imiclərdən yaradılmış konteynerlərə sıxılmış arxivlərin ötürülməməsi daxildir.