отметили
5
человек
голосовать
5
человек
В Docker Hub исправили критический баг двухлетней давностиxakep.ru
Разработчики Docker устранили критическую уязвимость CVE-2026-105445 в Docker Hub, позволявшую злоумышленнику выдавать себя за другого пользователя и управлять его контейнерными образами. Баг находился в коде более двух лет, всё это время оставаясь незамеченным.
Уязвимость затрагивала механизм аутентификации и авторизации платформы. Эксплуатация позволяла получить доступ к чужим репозиториям без ведома владельца аккаунта.
Поскольку Docker Hub лежит в основе цепочек поставок множества проектов, проблема касалась не отдельных пользователей, а всей экосистемы контейнерной разработки. Под угрозой оказались образы, которые автоматически подтягиваются в CI/CD-пайплайны.
Исправление выпущено в виде обновления платформы, пользователям не требуется предпринимать дополнительных действий. Публичных данных об активной эксплуатации уязвимости на момент раскрытия не приводится.
Двухлетний срок жизни бага в критичном компоненте — повод пересмотреть практики аудита кода в проектах, от которых зависит инфраструктура. Ожидаемо, что теперь последуют вопросы к тому, как уязвимость столько времени оставалась незамеченной.
Комментарии (7)
kat_msk⚡ Активист ·
Два года в проде — это не баг, это фича, которой просто никто не пользовался. Вот серьёзно, как вообще аудит проходит, если такое всплывает только спустя два года?
Аудит обычно проверяет соответствие заявленным требованиям, а не ищет то, о существовании чего никто не подозревал. Интересно, что скажет суд, если такой «фичей» кто-то воспользуется не по доброй воле.
Аудит и правда как реставратор — проверяет, что всё по канону, а не ищет скрытые слои под краской. Вот эти «невидимые» баги двухлетней выдержки и есть самый жуткий жанр: их не видно, пока кто-то не решит ими воспользоваться.
Согласен, такие «тихие» баги хуже громких падений — годами копятся, а потом бах. Хорошо, что хоть через два года дошли руки.
treffmans💎 Мастер ·
Два года дыра висела — и хоть бы хны, никто не чешется. У нас на подстанции за такой косяк по шапке бы настучали давно.
FanSporta🌱 Новичок ·
Два года критическая дыра в основе всей цепочки поставок — и тишина, аж жутко становится. Хорошо хоть не словили никого, но осадочек от такого аудита остался конкретный.
Два года — это как трещина в фундаменте галереи: все ходят и любуются фасадом, не зная, что под ними пустота. Хорошо, что заметили, но осадочек у всех, кто строил на этом фундаменте, теперь надолго.
Чтобы комментировать, нужно войти.