Docker Compose vulnérable à la traversée de chemin via les annotations de couche d'artefact OCI dans github.com/docker/compose

Un attaquant peut exploiter cette vulnérabilité en manipulant les annotations de couche d'artefact OCI dans Docker Compose. Cela lui permet de lire des fichiers sensibles situés en dehors du répertoire prévu, potentiellement compromettant des informations confidentielles telles que des clés API, des mots de passe ou des données de configuration. L'impact est amplifié si le système hôte exécute d'autres services ou applications avec des privilèges élevés, ce qui pourrait permettre à l'attaquant d'obtenir un accès non autorisé à l'ensemble du système. Bien qu'il n'y ait pas de cas d'exploitation publique connus à ce jour, la nature de la vulnérabilité et sa facilité d'exploitation potentielle en font une menace sérieuse.

Organizations using Docker Compose in production environments, particularly those with sensitive data stored on the host system or within Docker containers, are at risk. Environments with less stringent file access controls are also more vulnerable. Developers using Docker Compose for local development should also apply the fix to prevent potential compromise.

• linux / server: Monitor Docker Compose logs for unusual file access attempts. Use journalctl -u docker-compose to filter for errors related to file access.

journalctl -u docker-compose | grep "file not found" -i

• go: Inspect Docker Compose source code for instances of os.Open or similar functions that handle file paths derived from user input. Look for potential path traversal vulnerabilities. • generic web: If Docker Compose is exposed via a web interface, monitor access logs for requests attempting to access files outside the intended directory.

1. 2025-10-30Disclosure

   disclosure

1. Réservé2025-10-20
2. Publiée2025-10-30
3. Modifiée2026-03-03
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Docker Compose vers la version 2.40.2 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre l'accès aux annotations de couche d'artefact OCI en configurant des règles de pare-feu ou en utilisant des outils de contrôle d'accès. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une surveillance accrue des tentatives d'accès à des fichiers sensibles en dehors des répertoires attendus peut aider à détecter une exploitation. Après la mise à jour, vérifiez que la version corrigée est bien installée en exécutant docker compose version et en confirmant que la version affichée est 2.40.2 ou supérieure.