Platform
docker
Component
arcane
Opgelost in
1.17.4
Arcane is een interface voor het beheren van Docker containers, images, netwerken en volumes. Voor versie 1.17.3 accepteerde de /api/templates/fetch endpoint een door de gebruiker opgegeven URL parameter en voerde een server-side HTTP GET request uit naar die URL zonder authenticatie of URL scheme/host validatie. De server response werd direct aan de gebruiker geretourneerd, wat resulteert in een unauthenticated SSRF kwetsbaarheid. Deze kwetsbaarheid is verholpen in versie 1.17.3.
De CVE-2026-40242-kwetsbaarheid in Arcane, een tool voor het beheren van Docker-containers, -images, -netwerken en -volumes, introduceert een niet-geauthenticeerde Server-Side Request Forgery (SSRF)-kwetsbaarheid. Voor versie 1.17.3 accepteert de /api/templates/fetch-endpoint een URL-parameter die door de aanroeper wordt geleverd en voert een server-side HTTP GET-verzoek naar die URL uit zonder authenticatie en zonder validatie van het URL-schema of de host. De reactie van de server wordt rechtstreeks aan de aanroeper geretourneerd. Dit stelt een aanvaller in staat, zonder inloggegevens, de Arcane-server te dwingen om verzoeken naar interne of externe resources te doen, waardoor mogelijk gevoelige informatie wordt blootgelegd of met andere systemen wordt geinteracteerd.
Deze kwetsbaarheid is vooral zorgwekkend omdat Arcane vaak wordt gebruikt in ontwikkel- en implementatieomgevingen, waar het mogelijk toegang heeft tot kritieke interne resources. Een aanvaller kan deze kwetsbaarheid gebruiken om het interne netwerk te scannen op blootgestelde services, vertrouwelijke bestanden te lezen of zelfs willekeurige code op de Arcane-server uit te voeren als het toegang heeft tot andere resources. Het ontbreken van authenticatie maakt exploitatie eenvoudig en toegankelijk voor een breed scala aan aanvallers.
Organizations utilizing Arcane for Docker container management, particularly those with publicly accessible Arcane instances or those running Arcane within environments with sensitive internal resources, are at significant risk. Shared hosting environments where Arcane is deployed alongside other applications are also vulnerable.
• linux / server:
journalctl -u arcane | grep '/api/templates/fetch'• generic web:
curl -I <arcane_instance_url>/api/templates/fetch?url=<internal_resource>• generic web:
grep -i '/api/templates/fetch' /var/log/apache2/access.logdisclosure
patch
Exploit Status
EPSS
0.02% (6% percentiel)
CISA SSVC
CVSS-vector
De oplossing om deze kwetsbaarheid te mitigeren is om Arcane te upgraden naar versie 1.17.3 of hoger. Deze versie corrigeert het probleem door een juiste URL-validatie op de door de gebruiker verstrekte URL te implementeren, waardoor ongeautoriseerde verzoeken worden voorkomen. Controleer bovendien de netwerk- en beveiligingsconfiguraties om ervoor te zorgen dat Arcane is geïsoleerd van gevoelige resources. Het monitoren van de Arcane-logs op verdachte activiteiten wordt ook aanbevolen. Als een onmiddellijke upgrade niet mogelijk is, kan het implementeren van een Web Application Firewall (WAF) die inkomende verzoeken filtert en degenen blokkeert die proberen deze kwetsbaarheid te exploiteren, een tijdelijke maatregel vormen.
Werk Arcane bij naar versie 1.17.3 of hoger om de SSRF-vulnerability te mitigeren. Deze update corrigeert het ontbreken van URL-validatie in de /api/templates/fetch endpoint, waardoor aanvallers geen willekeurige HTTP-verzoeken via de server kunnen uitvoeren.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Een SSRF-aanval (Server-Side Request Forgery) treedt op wanneer een aanvaller een server kan dwingen om verzoeken te doen naar resources waar de server geen toegang toe zou moeten hebben, zowel intern als extern.
Deze kwetsbaarheid stelt een aanvaller in staat om toegang te krijgen tot vertrouwelijke informatie of te interageren met andere systemen via uw Arcane-server, wat kan leiden tot een beveiligingsinbreuk.
Implementeer een Web Application Firewall (WAF) om inkomende verzoeken te filteren en de Arcane-logs te monitoren op verdachte activiteiten.
Kwetsbaarheidsscanners kunnen deze kwetsbaarheid detecteren, maar het is belangrijk om ze up-to-date te houden.
U kunt meer informatie over CVE-2026-40242 vinden in kwetsbaarheidsdatabases zoals de NVD (National Vulnerability Database).
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je Dockerfile-bestand en we vertellen je direct of je getroffen bent.