Docker Compose Vulnerable a Recorrido de Directorio a través de Anotaciones de Capa de Artefacto OCI en github.com/docker/compose

La vulnerabilidad de Path Traversal en Docker Compose permite a un atacante, con acceso al entorno Docker Compose, manipular las anotaciones de las capas de artefactos OCI para acceder a archivos fuera del directorio previsto. Esto podría resultar en la exposición de información confidencial, como claves de API, contraseñas, o incluso código fuente. Un atacante podría utilizar esta vulnerabilidad para escalar privilegios y comprometer el sistema host subyacente. El impacto potencial es significativo, especialmente en entornos de desarrollo y producción donde Docker Compose se utiliza para orquestar aplicaciones.

Organizations using Docker Compose in production environments, particularly those with sensitive data stored on the host system or within Docker containers, are at risk. Environments with less stringent file access controls are also more vulnerable. Developers using Docker Compose for local development should also apply the fix to prevent potential compromise.

• linux / server: Monitor Docker Compose logs for unusual file access attempts. Use journalctl -u docker-compose to filter for errors related to file access.

journalctl -u docker-compose | grep "file not found" -i

• go: Inspect Docker Compose source code for instances of os.Open or similar functions that handle file paths derived from user input. Look for potential path traversal vulnerabilities. • generic web: If Docker Compose is exposed via a web interface, monitor access logs for requests attempting to access files outside the intended directory.

1. 2025-10-30Disclosure

   disclosure

1. Reservado2025-10-20
2. Publicada2025-10-30
3. Modificada2026-03-03
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Docker Compose a la versión 2.40.2 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar controles de acceso restrictivos en el sistema host para limitar el acceso a archivos sensibles. Además, revise la configuración de Docker Compose para asegurar que no se estén utilizando anotaciones de artefactos OCI de forma insegura. Considere la implementación de un Web Application Firewall (WAF) para filtrar solicitudes maliciosas que intenten explotar esta vulnerabilidad. Verifique después de la actualización que el acceso a archivos sensibles esté restringido y que la versión de Docker Compose sea la esperada.