- Yama var
- Son 7 gün
- CWE-15
CVE-2026-121614
Docker Sandboxes ana makine Git yapılandırması depo kaynaklı programları çalıştırıyor
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Docker
Yönetici özeti
Bu açık, bir geliştirme ortamını yalıtılmış çalışma alanlarından çıkıp ana bilgisayarı ele geçirmeye kadar götürebilir. Etkilenen Docker Sandboxes kullanan ekipler için risk yüksektir ve güncelleme öncelikli olarak planlanmalıdır.
ÖzetTürkçe
Docker Sandboxes 0.31.0 ile 0.50.0 öncesi sürümlerde, ana makinede çalıştırılan bazı Git komutları depoya ait Git yapılandırmasını temizlemeden işler. Bir saldırgan ana makinedeki bir deponun Git yapılandırmasını değiştirebilirse, core.fsmonitor gibi bir ayar üzerinden harici bir programın çalışmasını sağlayabilir. Bu durum, depo okuma-yazma bağlandığında doğrudan modda çalışan sandbox'lar üzerinden mümkün olabilir.
Saldırgan ne yapabilir?
Saldırgan, kullanıcının yetkileriyle ana makinede keyfi bir programı çalıştırabilir ve bu işlem sandbox'ın microVM yalıtımının dışında gerçekleşir.
Kaynaktaki açıklama (İngilizce)
Docker Sandboxes versions 0.31.0 before 0.50.0 do not neutralize repository-controlled Git configuration when running certain host-side Git commands. An attacker who can modify a host repository's Git configuration, for example through a direct-mode sandbox with the repository mounted read-write, can configure core.fsmonitor or another Git setting that invokes an external program. Git can execute the program during a later clone-mode fetch or, starting in version 0.39.0, an sbx kit push initiated by the user. The program runs on the host with the invoking user's permissions, outside the sandbox's microVM isolation. The read-only host repository mount provided to a clone-mode sandbox does not itself allow that sandbox to modify the host repository's Git configuration. The issue is fixed in version 0.50.0.
Üreticinin çözüm notu (İngilizce)
Upgrade Docker Sandboxes to version 0.50.0 or later.
Üreticinin geçici önlemi (İngilizce)
Until upgrading, do not run clone-mode sandbox creation or start, or sbx kit push, in repositories whose Git configuration or .git metadata can be modified by untrusted code, such as a repository mounted read-write into another sandbox.
Ne yapmalı?
- Docker Sandboxes'ı 0.50.0 veya daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapılana kadar, Git yapılandırması veya .git dizini güvenilmeyen kodla değiştirilebilen depolarda klon modunda sandbox oluşturma veya başlatma işlemini yapmayın. Genel öneri
- Yükseltme yapılana kadar, Git yapılandırması değiştirilebilen depolarda sbx kit push komutunu çalıştırmayın. Genel öneri
- Başka bir sandbox'a okuma-yazma olarak bağlanmış depoları, güvenilmeyen kodun erişebileceği durumlarda kontrol edin. Genel öneri
Ek önlemler
- Ana makinedeki depoların .git dizinlerinde beklenmeyen yapılandırma değişikliklerini düzenli olarak inceleyin. Genel öneri
- Geliştiricilerin güvenilmeyen depoları ana makinede doğrudan açmasını veya işlemesini sınırlayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Docker Sandboxes | ≥ 0.31.0, < 0.50.0 | 0.50.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.