CVE-2026-54248

Doco-CD, Docker Compose layihələrini/xidmətlərini və Swarm steklərini avtomatik şəkildə yerləşdirən və yeniləyən GitOps kəsilməz çatdırılma alətidir. Versiya 0.90.1-dən əvvəl, OCI artefaktının yoxlanılması prosesindəki etibar sərhədi qüsuru, artefakt tərəfindən təmin edilən yerləşdirmə konfiqurasiyasının həmin artefaktı yoxlamaq üçün istifadə olunan siyasətə təsir göstərməsinə şərait yaradırdı. Qlobal OCI imza yoxlaması `OCI_TRUST_POLICY` (`enabled: true`) vasitəsilə aktiv edildikdə, konfiqurasiya edilmiş OCI teqinə yazı girişinə malik olan hücumçu, daxilində `oci.verify: false` olan `.doco-cd.yml` faylı yerləşmiş imzalanmamış və ya yanlış imzalanmış artefakt dərc edə bilərdi. Bu, imza yoxlamasının yan keçilməsinə və etibarsız yerləşdirmə məzmununun tətbiq olunmasına səbəb ola bilərdi. Bu problem əsasən, yerləşdirmə konfiqurasiyasının artefakt məzmunundan oxunduğu OCI artefaktlarından yerləşdirmə edən istifadəçilərə təsir edir (məsələn, etibarlı sətirdaxili yerləşdirmə üstünlükləri olmayan poll/webhook axınları). Problem, ciddi etibar sərhədinin və aşağılandırma olmaz (no-downgrade) davranışının tətbiqi ilə həll edilmişdir. Birincisi, artefaktda yer alan `.doco-cd.yml` faylı OCI etibar-siyasəti üstünlük qərarları üçün etibarsız hesab edilir. İkincisi, əgər qlobal `OCI_TRUST_POLICY.enabled` parametri `true` olarsa, hər bir yerləşdirmə üzrə `oci.verify: false` parametrisi yoxlamanı deaktiv edə bilməz. Bəzi müvəqqəti həll yolları mövcuddur. Yerləşdirmə konfiqurasiyasını etibarsız OCI artefakt məzmunlarından götürməyin. Etibarlı sətirdaxili `POLL_CONFIG.deployments` istifadə edin və artefaktda yer alan etibar-siyasəti üstünlüklərinə güvənməkdən qaçın. Doco-cd tərəfindən istifadə olunan OCI repozitoriyaları/teqləri üçün yazı/push icazələrini məhdudlaşdırın. Dəyişməz dayest pinləməni (immutable digest pinning) və qorunan buraxılış/teq iş axınlarını üstün tutun. Gözlənilməz artefakt dayest dəyişikliklərini və uğursuz/şübhəli yoxlama hadisələrini izləyin.