CVE-2026-33540
Açıklama
Distribution; konteyner içeriğini paketlemek, göndermek, depolamak ve teslim etmek için kullanılan bir araç setidir. 3.1.0 sürümünden önce, pull-through önbellek modunda distribution, yapılandırılmış üst akış (upstream) kayıt defteri tarafından döndürülen WWW-Authenticate meydan okumalarını ayrıştırarak belirteç kimlik doğrulama uç noktalarını keşfeder. Bir taşıyıcı (bearer) meydan okumasından gelen realm URL'si, üst akış kayıt defteri ana bilgisayarıyla eşleştiği doğrulanmadan kullanılır. Sonuç olarak, saldırgan tarafından kontrol edilen bir üst akış (veya üst akışa karşı Ortadaki Adam - MitM konumundaki bir saldırgan), distribution'ın yapılandırılmış üst akış kimlik bilgilerini temel kimlik doğrulama (basic auth) aracılığıyla saldırgan tarafından kontrol edilen bir realm URL'sine göndermesine neden olabilir. Bu güvenlik açığı 3.1.0 sürümünde gide
Nasıl düzeltilir
- distribution_project distribution3.1.0 ya da sonraki bir sürüm
- github.com/distribution/distribution/v33.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| distribution_project distribution | v < 3.1.0 | 3.1.0 |
| github.com/distribution/distribution/v3Go | v < 3.1.0 | 3.1.0 |
| github.com/distribution/distributionGo | v ≤ 2.8.3, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.