CVE-2026-41567

Docker: `PUT /containers/{id}/archive` thực thi nhị phân container trên máy chủ

Moby là một khung lập trình nguồn mở cho các container. Trong các phiên bản trước 29.5.1 và moby/moby trước v2.0.0-beta.14, khi một gói lưu trữ được tải lên vào một container thông qua `PUT /containers/{id}/archive` hoặc được chuyển qua `docker cp -`, daemon giải nén các nhị phân giải nén (như `xz` hoặc `unpigz`) từ hệ thống tệp của container thay vì từ máy chủ do thứ tự các hoạt động không chính xác. Một hình ảnh container độc hại chứa một nhị phân giải nén bị trojan có thể đạt được thực thi mã tùy ý với toàn bộ quyền của daemon, bao gồm quyền root UID của máy chủ và các khả năng không giới hạn, khi một người dùng tải lên một gói lưu trữ (xz hoặc gzip) vào container đó. Vấn đề này đã được giải quyết trong Docker Engine 29.5.1 và moby/moby v2.0.0-beta.14. Các giải pháp khẩn cấp bao gồm chỉ chạy các container từ hình ảnh tin cậy, sử dụng các plugin xác thực để giới hạn truy cập vào điểm cuối `PUT /containers/{id}/archive`, và tránh chuyển các gói lưu trữ vào các container được tạo từ hình ảnh không tin cậy.

CNA cấp mã

GitHub_M

Ngày công bố

05/06/2026

Cập nhật

09/09/2026

CVSS (NVD)

7.2 · HIGH

Loại lỗi (CWE)

CWE-427

EPSS (FIRST)

0.32% khả năng bị khai thác trong 30 ngày