CVE-2026-41567

Moby, açık kaynaklı bir konteyner çerçevesidir. 29.5.1 öncesi sürümlerde ve v2.0.0-beta.14 öncesi moby/moby v2 sürümlerinde, sıkıştırılmış bir arşiv `PUT /containers/{id}/archive` aracılığıyla veya `docker cp -` ile bir konteynere yüklendiğinde, daemon hatalı işlem sıralaması nedeniyle sıkıştırma açma ikili dosyalarını (ör. `xz` veya `unpigz`) ana makinenin dosya sistemi yerine konteynerin dosya sisteminden çözer. Truva atı bulaştırılmış bir sıkıştırma açma ikili dosyası içeren kötü niyetli bir konteyner imajı, bir kullanıcı bu konteynere sıkıştırılmış (xz veya gzip) bir arşiv yüklediğinde, ana makine root UID'si ve kısıtlanmamış yetenekler dahil olmak üzere tam daemon ayrıcalıklarıyla rastgele kod çalıştırma elde edebilir. Bu sorun Docker Engine 29.5.1 ve moby/moby v2.0.0-beta.14 sürümlerinde giderilmiştir. Geçici çözümler arasında yalnızca güvenilir imajlardan konteyner çalıştırmak, `PUT /containers/{id}/archive` uç noktasına erişimi kısıtlamak için yetkilendirme eklentileri kullanmak ve sıkıştırılmış arşivleri güvenilmeyen imajlardan oluşturulan konteynerlere aktarmaktan kaçınmak yer alır.