Divulgation d'information dans github.com/amir20/dozzle (CVE-2026-62286)
Résumé
Vulnérabilité dans github.com/amir20/dozzle (CVE-2026-62286). Risque d'opérations non autorisées ou de divulgation. Exploitable via guest. Atténuation : mise à jour vers 1.29.1-0.20260622172006-19c01e0fb491 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Dozzle supports per-user label filters in users.yml that are documented as an access-control boundary: "Filters are used to restrict the containers that a user can see" and "the guest user can only see containers with the label com.example.app … useful for restricting access to specific containers" (docs/guide/authentication.md). This is the mechanism operators use to give different users/tenants visibility into disjoint subsets of containers on the same host.
The events stream handler streamEvents (GET /api/events/stream) honors that filter for the initial container list and for the incremental containers-changed updates, but it forwards two other channels — container-stat (live per-container CPU, memory, network and disk telemetry) and container-event (container lifecycle events: start/die/destroy/rename/pause/unpause, with the container's full attribute/label set) — to every authenticated client unconditionally, with no comparison against the caller's label filter. The upstream subscription SubscribeEventsAndStats fans out across every Docker client/host and never receives a label filter at all.
As a result, any authenticated user — including one explicitly constrained to a single label scope — receives live resource telemetry for every container on every monitored host, plus lifecycle events carrying each container's name, image and complete label map. This crosses the exact isolation boundary the filter feature is documented to enforce. Th…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-62286 a été découverte dans github.com/amir20/dozzle.
Des attaquants peuvent cibler un point d'entrée spécifique comme guest à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.3/10.
Action : mettez à jour github.com/amir20/dozzle vers 1.29.1-0.20260622172006-19c01e0fb491 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/amir20/dozzle CVE-2026-62286 » sur le site de l'éditeur.
CVE-2026-62286 (github.com/amir20/dozzle) — CWE-200 / CVSS v3 4.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : guest / com.example.app / streamEvents / SubscribeEventsAndStats
Correctif : 1.29.1-0.20260622172006-19c01e0fb491 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une divulgation d'information (CWE-200) affecte github.com/amir20/dozzle. Les attaquants atteignent le code vulnérable via guest.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/amir20/dozzle. Surface d'attaque : guest / com.example.app / streamEvents / SubscribeEventsAndStats.
Gravité : Moyenne (CVSS 4.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 1.29.1-0.20260622172006-19c01e0fb491.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/amir20/dozzle' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/amir20/dozzleを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/amir20/dozzle to 1.29.1-0.20260622172006-19c01e0fb491ステージング環境で 1.29.1-0.20260622172006-19c01e0fb491 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com