受拉取缓存凭证泄露影响的发行版，通过 www-authenticate bearer realm

该漏洞的潜在影响非常严重。攻击者可以利用恶意上游注册表，通过伪造 WWW-Authenticate 挑战，欺骗 GitHub Distribution 将凭据发送到攻击者控制的服务器。这可能导致攻击者获取敏感信息，例如访问代码库、修改代码或执行其他恶意操作。由于 GitHub Distribution 广泛用于镜像和分发 Docker 镜像，因此该漏洞的潜在影响范围非常广泛，可能影响到依赖该组件的各种应用程序和服务。攻击者可以利用此漏洞进行横向移动，进一步扩大攻击范围。

Organizations heavily reliant on Docker Distribution's pull-through cache functionality, particularly those with complex registry configurations or shared hosting environments, are at increased risk. Environments where upstream registries are not strictly controlled or monitored are also vulnerable.

• linux / server:

journalctl -u docker -g "upstream registry"

• generic web:

curl -I <docker_registry_url> | grep 'WWW-Authenticate'

1. 2026-04-06Disclosure

   disclosure

2. 2026-04-06Patch

   patch

1. 已保留2026-03-20
2. 发布日期2026-04-06
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-14

最有效的缓解措施是升级至 GitHub Distribution 3.1.0 或更高版本，该版本修复了此漏洞。如果无法立即升级，可以考虑以下临时缓解措施：限制 pull-through 缓存的使用，只允许信任的上游注册表。实施严格的网络访问控制，防止未经授权的访问上游注册表。监控 GitHub Distribution 的日志，查找异常活动，例如凭据泄露的迹象。在反向代理或 WAF 上配置规则，以检测和阻止恶意 WWW-Authenticate 挑战。升级后，请验证配置是否正确，并检查日志以确认漏洞已成功修复。