Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-532

CVE-2026-114409

Docker Desktop günlük dosyaları üçüncü taraf kimlik bilgilerini açığa çıkarabilir

Docker Desktop

Orta 5,7 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Docker

Yönetici özeti

Bu açık, bilgisayarlarda kullanılan bazı hizmetlerin gizli erişim anahtarlarının yerel günlük dosyalarında açıkta kalmasına yol açabilir. Risk, bu anahtarların ele geçirilmesi halinde ilgili hizmetlerde yetkisiz işlem yapılabilmesidir. Sürümün güncellenmesi ve mevcut anahtarların yenilenmesi kısa sürede yapılmalıdır.

ÖzetTürkçe

Docker Desktop'ın 4.97.0 sürümünden önceki sürümlerinde, IPC veri yükleri yeterince temizlenmediği için üçüncü taraf API anahtarları ve OAuth erişim belirteçleri düz metin olarak yerel uygulama günlüklerine ve tanılama paketlerine yazılabiliyordu. Etkilenen sürümler 4.39.0 ile 4.96.x arasını kapsamaktadır. Bu belirteçler Docker hesabına ait belirteçler değildir.

Saldırgan ne yapabilir?

Bu dosyalara okuma erişimi olan bir saldırgan, bu dosyalarda saklanan üçüncü taraf API anahtarlarını ve OAuth belirteçlerini ele geçirebilir ve bu kimlik bilgileriyle ilgili hizmetlere erişebilir.

Kaynaktaki açıklama (İngilizce)

Docker Desktop before version 4.97.0 could write third-party API keys and OAuth access tokens in cleartext to local application logs and diagnostics bundles due to insufficient IPC payload redaction. An attacker with read access to these files could obtain the credentials. These OAuth tokens are not Docker account tokens. Docker Desktop 4.94.0 and 4.95.0 addressed the known logging paths, but logs containing credentials can remain after upgrading. Docker Desktop 4.97.0 fixes the issue and includes cleanup of existing host logs and crash dumps.

Üreticinin çözüm notu (İngilizce)

Upgrade to Docker Desktop 4.97.0 or later.

Üreticinin geçici önlemi (İngilizce)

Restrict access to existing local application logs and diagnostics bundles that may contain credentials, and revoke or rotate exposed credentials.

Ne yapmalı?

  1. Docker Desktop'ı 4.97.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Mevcut yerel uygulama günlüklerine ve tanılama paketlerine erişimi kısıtlayın; bu dosyalarda kimlik bilgisi bulunabileceğini göz önünde bulundurun. Üretici
  3. Bu dosyalarda açığa çıkmış olabilecek API anahtarlarını ve OAuth belirteçlerini iptal edin veya yenileyin. Üretici
  4. Yükseltmeden sonra da kimlik bilgilerinin günlüklerde kalabileceğini dikkate alarak eski günlük dosyalarını ve tanılama paketlerini kontrol edin; 4.97.0 sürümü mevcut ana makine günlüklerini ve çökme dökümlerini temizlemeyi de içermektedir. Üretici

Ek önlemler

  • Geliştirici makinelerinde ve sunucularda Docker Desktop sürümlerini envanterinizde takip edin ve otomatik güncellemeleri etkinleştirin. Genel öneri
  • Günlük ve tanılama dizinlerinin izinlerini yalnızca yetkili kullanıcılarla sınırlayın. Genel öneri
  • Uygulamalarınızda API anahtarlarını günlüğe yazmaktan kaçının ve gizli bilgileri düzenli olarak döndürün. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Docker Desktop ≥ 4.39.0, < 4.97.0 4.97.0
4.97.0 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.