CVE-2026-100837 in Contrast
Riassunto
di VulDB • 27/09/2026
Contrast (Edgeless Systems) fino alla versione 1.20.0 esegue una corrispondenza di suffisso non ancorata quando seleziona la configurazione per registro nell'imagepuller. La funzione Config.registryFor rimuove un singolo punto finale e utilizza poi strings.HasSuffix(hostname, fqdn) senza richiedere un confine di etichetta DNS; pertanto, una voce del registro come [registries."ghcr.io."] viene applicata anche a qualsiasi host il cui nome termina semplicemente con quella sequenza di byte, inclusi domini registrati da attaccanti quali evilghcr.io. Quando un'immagine o uno strato viene prelevato da un dominio fratello simile, l'imagepuller invia l'intestazione Authorization configurata (autenticazione di base, token del registro o token di identità), si fida del bundle CA personalizzato configurato, segue lo specchio configurato e onora la configurazione insecure-skip-verify (disabilitando la verifica TLS) per quell'host. L'integrità dell'immagine non è compromessa, poiché i byte dell'immagine rimangono vincolati al digest nella policy e vengono validati dopo il prelievo. Le configurazioni che utilizzano un punto iniziale (ad esempio [registries.".example.registry"]) sono invece esenti da questo problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.