CVE-2026-54248 in doco-cd
الملخص
بحسب VulDB • 12/09/2026
Doco-CD هو أداة تسليم مستمر تعتمد على GitOps تقوم بنشر وتحديث مشاريع/خدمات Docker Compose ومجموعات Swarm تلقائيًا. قبل الإصدار 0.90.1، سمحت عيب في حدود الثقة (trust-boundary flaw) أثناء التحقق من عناصر OCI (OCI artifacts) بتأثير تكوين النشر المقدم عبر العنصر على السياسة المستخدمة للتحقق من صحة ذلك العنصر نفسه. عندما يكون التحقق التوقيعي العالمي لـ OCI مفعلاً عبر `OCI_TRUST_POLICY` (`enabled: true`)، يمكن لمهاجم لديه صلاحية الكتابة على الوسم (tag) المُعدّ في OCI نشر عنصر غير موقع أو موقع بشكل غير صحيح يحتوي على `.doco-cd.yml` مع إعداد `oci.verify: false`. قد يؤدي هذا إلى تجاوز التحقق من التوقيعات وتطبيق محتوى نشر غير موثوق. يؤثر ذلك أساسًا على المستخدمين الذين ينشرون من عناصر OCI حيث يُقرأ تكوين النشر من محتويات العنصر (على سبيل المثال، تدفقات الاستطلاع/الويبوك التي لا تحتوي على تجاوزات للنشر المضمنة والموثوقة). تم إصلاح المشكلة بفرض حدود ثقة صارمة وسلوك يمنع التراجع في مستوى الثقة. أولاً، يتم التعامل مع `.doco-cd.yml` الموجود داخل العنصر كغير موثوق عند اتخاذ قرارات التجاوز الخاصة بسياسة ثقة OCI. ثانيًا، إذا كان `OCI_TRUST_POLICY.enabled` العالمي يساوي `true`، فلا يمكن لإعداد `oci.verify: false` الخاص بكل نشر أن يعطل التحقق. تتوفر بعض الحلول البديلة (workarounds). لا تستمد تكوين النشر من محتويات عنصر OCI غير الموثوق. استخدم إعدادات `POLL_CONFIG.deployments` المضمنة والموثوقة وتجنب الاعتماد على تجاوزات سياسة الثقة الموجودة داخل العنصر. قيّد صلاحيات الكتابة/الدفع لمستودعات ووسوم OCI المستخدمة بواسطة doco-cd. فضّل تثبيت الهضم (digest pinning) الثابت وغير القابل للتغيير، وسير العمل المحمي للإصدارات والوسوم. راقب التغيرات غير المتوقعة في هضم العنصر وأحداث التحقق الفاشلة أو المشبوهة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.