CVE-2026-44850
Açıklama
Portainer Community Edition; Docker, Swarm, Kubernetes ve ACI ortamlarını yönetmek için kullanılabilen, konteynerleştirilmiş uygulamalar için hafif bir servis sunum platformudur. 2.33.0 ile 2.33.8, 2.39.2 ve 2.41.0 sürümleri arasındakilerde Portainer, normal kullanıcıların Portainer aracılı Docker API üzerinden oluşturdukları konteynerlere ana makine yollarını bağlamalarını engelleyen ortam düzeyinde bir "Disable bind mounts for non-administrators" güvenlik ayarı sunmaktadır. Bu ayarın uygulanmasını sağlayan kontrol, yalnızca konteyner oluşturma proxy'sindeki eski HostConfig.Binds dizisini incelemekte ve eşdeğer olan HostConfig.Mounts dizisine hiçbir zaman bakmamaktadır. Kısıtlamanın etkin olduğu bir Docker ortamında konteyner oluşturma yetkisine sahip herhangi bir kimliği doğrulanmış kullanıcı, HostConfig.Mounts altında bind tipinde bir giriş göndererek herhangi bir ana makine yolunu kendi konteynerine bağlayabilir. Bu güvenlik açığı 2.33.8, 2.39.2 ve 2.41.0 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- portainer portainer2.33.8, 2.39.1 ya da sonraki bir sürüm
- github.com/portainer/portainer2.33.8, 2.39.2, 2.41.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| portainer portainer | 2.33.0 ≤ v < 2.33.8, 2.34.0 ≤ v < 2.39.1, 2.40.0 | 2.33.8, 2.39.1 |
| github.com/portainer/portainerGo | 2.33.0 ≤ v < 2.33.8, 2.39.0 ≤ v < 2.39.2, 2.40.0 ≤ v < 2.41.0, Aralık belirtilmemiş | 2.33.8, 2.39.2, 2.41.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.