CVE-2024-41110
Moby authz zero length regression
CVSS 3.1Critical
10.0/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 25.0.6+incompatible, 26.1.5+incompatible, 27.1.1+incompatible, 23.0.15, 26.1.5, 27.1.1, 25.0.6
Обновите Docker Engine / Moby до актуальных версий с исправлением регрессии проверки AuthZ.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Регрессионная уязвимость в Moby (Docker Engine) позволяет обойти плагины авторизации AuthZ с помощью запросов с пустым телом.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Через специально сформированный запрос к Engine API демон пересылает плагину AuthZ запрос или ответ с нулевой длиной тела. Плагин принимает решение без контекста payload и ошибочно одобряет действие.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Полный обход политик доступа AuthZ, несанкционированное выполнение привилегированных команд в Docker Engine и компрометация контейнеров.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
mobymoby
>= 19.03.0➔Патч не выпущен
mobymoby
>= 20.0.0➔Патч не выпущен
mobymoby
>= 23.0.0➔Патч не выпущен
mobymoby
>= 24.0.0➔Патч не выпущен
mobymoby
>= 25.0.0➔Патч не выпущен
mobymoby
>= 26.0.0➔Патч не выпущен
mobymoby
>= 26.1.0➔Патч не выпущен
mobymoby
>= 27.0.0➔Патч не выпущен
——
>= 20.10.0+incompatible➔Fix: 25.0.6+incompatible
——
>= 26.0.0+incompatible➔Fix: 26.1.5+incompatible
——
>= 27.0.0+incompatible➔Fix: 27.1.1+incompatible
——
>= 20.10.0+incompatible➔Fix: 25.0.6+incompatible
——
>= 26.0.0+incompatible➔Fix: 26.1.5+incompatible
——
>= 27.0.0+incompatible➔Fix: 27.1.1+incompatible
——
>= 19.03.0➔Fix: 23.0.15
——
>= 26.0.0➔Fix: 26.1.5
——
>= 27.0.0➔Fix: 27.1.1
——
>= 24.0.0➔Fix: 25.0.6
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (14)
- github.comhttps://github.com/moby/moby/security/advisories/GHSA-v23v-6jw2-98fq
- github.comhttps://github.com/moby/moby/commit/411e817ddf710ff8e08fa193da80cb78af708191
- github.comhttps://github.com/moby/moby/commit/42f40b1d6dd7562342f832b9cd2adf9e668eeb76
- github.comhttps://github.com/moby/moby/commit/65cc597cea28cdc25bea3b8a86384b4251872919
- github.comhttps://github.com/moby/moby/commit/852759a7df454cbf88db4e954c919becd48faa9b
- github.comhttps://github.com/moby/moby/commit/a31260625655cff9ae226b51757915e275e304b0
- github.comhttps://github.com/moby/moby/commit/a79fabbfe84117696a19671f4aa88b82d0f64fc1
- github.comhttps://github.com/moby/moby/commit/ae160b4edddb72ef4bd71f66b975a1a1cc434f00
- github.comhttps://github.com/moby/moby/commit/ae2b3666c517c96cbc2adf1af5591a6b00d4ec0f
- github.comhttps://github.com/moby/moby/commit/cc13f952511154a2866bddbb7dddebfe9e83b801
- github.comhttps://github.com/moby/moby/commit/fc274cd2ff4cf3b48c91697fb327dd1fb95588fb
- www.docker.comhttps://www.docker.com/blog/docker-security-advisory-docker-engine-authz-plugin
- github.comhttps://github.com/PauloParoPP/CVE-2024-41110-SCAN
- github.comhttps://github.com/vvpoglazov/cve-2024-41110-checker
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2024-41110: Moby authz zero length regression. URL: https://cve.futuretools.ru/cve/CVE-2024-41110
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2024_41110,
title = {{CVE-2024-41110: Moby authz zero length regression}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-41110}},
note = {Оперативный инженерный анализ киберугроз}
}