CVE-2026-54248

Doco-CD to narzędzie GitOps do ciągłego dostarczania, które automatycznie wdraża i aktualizuje projekty/usługi Docker Compose oraz stosy Swarm. Przed wersją 0.90.1 luka w granicy zaufania w weryfikacji artefaktów OCI umożliwiała konfiguracji wdrożenia dostarczonej z artefaktami wpływanie na zasady używane do weryfikacji tego samego artefaktu. Gdy globalna weryfikacja podpisu OCI została włączona poprzez `OCI_TRUST_POLICY` („enabled: true”), osoba atakująca z dostępem do zapisu do skonfigurowanego tagu OCI może opublikować niepodpisany lub nieprawidłowo podpisany artefakt zawierający `.doco-cd.yml` z `oci.verify: false`. Może to spowodować pominięcie weryfikacji podpisu i zastosowanie niezaufanej zawartości wdrożeniowej. Ma to przede wszystkim wpływ na użytkowników wdrażających z artefaktów OCI, gdzie konfiguracja wdrożenia jest odczytywana z zawartości artefaktów (na przykład przepływy sondowania/webhooka bez zaufanych wbudowanych zastąpień wdrażania). Problem został rozwiązany poprzez wymuszenie ścisłej granicy zaufania i brak zachowania polegającego na obniżeniu wersji. Po pierwsze, plik `.doco-cd.yml' zawierający artefakty jest traktowany jako niezaufany w przypadku decyzji o zastąpieniu zasad zaufania OCI. Po drugie, jeśli globalne „OCI_TRUST_POLICY.enabled” ma wartość „true”, dla każdego wdrożenia „oci.verify: false” nie może wyłączyć weryfikacji. Dostępne są pewne obejścia. Nie pozyskuj konfiguracji wdrożenia z niezaufanej zawartości artefaktów OCI. Użyj zaufanego wbudowanego pliku `POLL_CONFIG.deployments` i unikaj polegania na zastąpieniach zasad zaufania zawierających artefakty. Ogranicz uprawnienia do zapisu/wypychania dla repozytoriów/tagów OCI używanych przez doco-cd. Preferuj przepływy pracy związane z przypinaniem niezmiennych podsumowań i chronionymi wydaniami/tagami. Monitoruj nieoczekiwane zmiany podsumowania artefaktów i nieudane/podejrzane zdarzenia weryfikacji.