CVE-2026-24740: Autorização incorreta nos endpoints de shell do agente do Dozzle
Versões do Dozzle anteriores à 9.0.3 contêm uma falha de autorização incorreta nos endpoints de shell com suporte de agente. Um usuário restrito por filtros de rótulo pode obter um shell root interativo em contêineres fora do seu escopo no mesmo host do agente. A atualização para a versão 9.0.3, que contém a correção, é a principal medida recomendada.
Visão geral
O Dozzle é um visualizador de logs em tempo real para contêineres Docker. Segundo o registro, uma falha nos endpoints de shell com suporte de agente permite que um usuário limitado por filtros de rótulo acesse contêineres fora do seu escopo no mesmo host do agente. O problema é corrigido na versão 9.0.3.
Impacto
- O registro descreve a obtenção de um shell root interativo em contêineres fora do escopo, no mesmo host do agente.
- A NVD atribui CVSS 3.1 de 9.9 (vetor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L). O GitHub atribui CVSS 4.0 de 8.7.
- No vetor CVSS 3.1, o impacto em confidencialidade e integridade é classificado como alto, e em disponibilidade como baixo.
Produtos e versões afetadas
- Produto listado: Amirraminfar Dozzle, em versões anteriores à 9.0.3.
- A versão 9.0.3 é indicada como a que contém a correção.
- O registro referencia o commit de correção e a página de release da 9.0.3.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração ativa confirmada nas fontes consultadas. O aviso do fornecedor aparece com a etiqueta 'Exploit' no registro, mas o registro não traz detalhes de exploração.
Correção e mitigação
- Atualize o Dozzle para a versão 9.0.3 ou superior.
- Enquanto a atualização não é concluída, revise quem pode acessar os endpoints apoiados por agente e reduza essa exposição, seguindo a orientação de mitigação do aviso do fornecedor.
- Revise as políticas de acesso baseadas em rótulos. Os filtros de rótulo não impediram o acesso a IDs de contêineres fora do escopo na falha descrita.
Detecção
- Analise os logs do Dozzle e do host do agente em busca de sessões de shell abertas contra contêineres fora do escopo de rótulos esperado.
- Mapeie as instâncias do Dozzle com versões anteriores à 9.0.3 e os hosts onde os agentes estão implantados.
- Monitore sessões root inesperadas dentro de contêineres de produção.
Limitações das informações disponíveis
O registro não contém dados de EPSS nem de SSVC. Não traz detalhes técnicos de reprodução e não descreve o modelo de implantação dos agentes. A mitigação é apenas referenciada, sem conteúdo detalhado no registro.
Perguntas frequentes
Quais versões do Dozzle são afetadas?
O registro indica como afetadas as versões do Dozzle anteriores à 9.0.3. A versão 9.0.3 é indicada como a que contém a correção.
Há exploração conhecida desta vulnerabilidade?
O catálogo KEV da CISA não a lista no registro, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.