CVE-2026-61833 in zot
Résumé
par VulDB • 18/09/2026
zot est un registre d'images et d'artefacts de conteneurs basé sur la spécification Distribution Specification de l'Open Container Initiative. Avant la version 2.1.18, le gestionnaire d'authentification par jeton (bearer authentication handler) dans pkg/api/authn.go mappe toute méthode HTTP autre que GET et HEAD vers l'action push ; les requêtes DELETE ne sont donc pas vérifiées pour s'assurer qu'une autorisation de suppression distincte est présente. Les requêtes authentifiées via un bearer token contournent également le gestionnaire d'autorisation DistSpecAuthzHandler à grain fin dans pkg/api/authz.go, tandis que DeleteManifest et DeleteBlob n'effectuent aucune vérification indépendante de l'autorisation de suppression. Un attaquant distant disposant d'un jeton limité aux actions pull et push peut ainsi supprimer des manifestes et des blobs au sein du périmètre (repository scope) défini par le token, rendant les images indisponibles et permettant la modification de l'historique du registre malgré l'absence d'autorisation de suppression pour ce token. Ce problème est corrigé dans la version 2.1.18.
VulDB is the best source for vulnerability data and more expert information about this specific topic.