Docker Compose Vulnerável a Traversal de Caminho via Anotações de Camada de Artefato OCI em github.com/docker/compose

A exploração bem-sucedida desta vulnerabilidade permite que um atacante leia arquivos arbitrários no sistema de arquivos subjacente ao Docker Compose. Isso pode levar à exposição de informações confidenciais, como chaves de API, senhas ou dados de configuração. Em cenários mais graves, um atacante pode até mesmo executar código malicioso se conseguir escrever em arquivos executáveis. A amplitude do impacto depende do contexto de implantação e das permissões concedidas ao usuário que executa o Docker Compose. A vulnerabilidade se assemelha a outros casos de Path Traversal, onde a falta de validação adequada da entrada do usuário permite o acesso a recursos não autorizados.

Organizations using Docker Compose in production environments, particularly those with sensitive data stored on the host system or within Docker containers, are at risk. Environments with less stringent file access controls are also more vulnerable. Developers using Docker Compose for local development should also apply the fix to prevent potential compromise.

• linux / server: Monitor Docker Compose logs for unusual file access attempts. Use journalctl -u docker-compose to filter for errors related to file access.

journalctl -u docker-compose | grep "file not found" -i

• go: Inspect Docker Compose source code for instances of os.Open or similar functions that handle file paths derived from user input. Look for potential path traversal vulnerabilities. • generic web: If Docker Compose is exposed via a web interface, monitor access logs for requests attempting to access files outside the intended directory.

1. 2025-10-30Disclosure

   disclosure

1. Reservado2025-10-20
2. Publicada2025-10-30
3. Modificada2026-03-03
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é atualizar o Docker Compose para a versão 2.40.2 ou superior. Se a atualização imediata não for possível, considere implementar controles de acesso rigorosos para restringir o acesso aos arquivos e diretórios relevantes. Isso pode incluir a configuração de permissões de arquivo apropriadas e o uso de firewalls ou sistemas de detecção de intrusão (IDS) para monitorar atividades suspeitas. Além disso, revise as anotações de camadas de artefatos OCI para garantir que não contenham caminhos maliciosos. Após a atualização, confirme a correção verificando se o Docker Compose não consegue mais acessar arquivos fora do diretório pretendido.