regclient — это клиент реестра Docker и OCI в Go. До версии 0.11.5 учетные данные реестра могли случайно попасть на внешние серверы. Предварительным условием для этой атаки является вредоносный сервер реестра, вредоносное хранилище больших двоичных объектов или реестр, который не ограничивает внешние URL-адреса для внешних больших двоичных объектов.
Версия 0.11.5 устраняет проблему.
Показать оригинальное описание (EN)
regclient is a Docker and OCI Registry Client in Go. Prior to version 0.11.5, credentials for a registry may be inadvertently leaked to external servers. A prerequisite for this attack is a malicious registry server, a malicious blob store, or a registry that does not restrict the external URLs for foreign blobs. Version 0.11.5 fixes the issue.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Требуется
Нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1