CVE-2026-100837

Contrast (Edgeless Systems) 1.20.0 sürümüne kadar olan versiyonlarda, imagepuller içerisinde kayıt defterine özel yapılandırma seçilirken sabitlenmemiş son ek eşleştirmesi gerçekleştirir. Config.registryFor tek bir sondaki noktayı kaldırır ve ardından bir DNS etiket sınırı gerektirmeden strings.HasSuffix(hostname, fqdn) kullanır; bu nedenle [registries."ghcr.io."] gibi bir kayıt defteri girişi, evilghcr.io gibi saldırgan tarafından kaydedilmiş alan adları da dahil olmak üzere ismi yalnızca bu bayt dizisiyle biten herhangi bir ana bilgisayar için de uygulanır. Bir görüntü veya katman böyle bir kardeş alan adından çekildiğinde, imagepuller yapılandırılmış Authorization başlığını (temel kimlik doğrulama, kayıt defteri belirteci veya kimlik belirteci) gönderir, yapılandırılmış özel CA paketine güvenir, yapılandırılmış aynayı takip eder ve söz konusu ana bilgisayar için insecure-skip-verify (TLS doğrulamasını devre dışı bırakma) ayarına uyar. Görüntü baytları politikada özetle (digest) sabitlendiği ve çekme işleminden sonra doğrulandığı için görüntü bütünlüğü etkilenmez. Başta nokta kullanan yapılandırmalar (örneğin, [registries.".example.registry"]) etkilenmemektedir.