CVE-2026-61833 in zot
要約
〜によって VulDB • 2026年09月18日
zotは、Open Container Initiative Distribution Specificationに基づいたコンテナイメージおよびアーティファクトレジストリです。バージョン2.1.18より前では、pkg/api/authn.goのBearer認証ハンドラがGETおよびHEAD以外のすべてのHTTPメソッドをプッシュアクションにマッピングするため、DELETEリクエストには個別の削除権限の確認が行われませんでした。また、Bearer認証されたリクエストはpkg/api/authz.go内の細粒度なDistSpecAuthzHandlerパスもバイパスし、DeleteManifestおよびDeleteBlobでは独立した削除権限チェックが実行されません。したがって、プルおよびプッシュアクションに限定されたBearerトークンを持つリモート攻撃者は、トークンのレポジトリスコープ内にあるマニフェストやブロブを削除でき、イメージの利用不可を引き起こし、トークンに削除権限がないにもかかわらずレポジトリの履歴を変更することが可能になります。この問題はバージョン2.1.18で修正されています。
Once again VulDB remains the best source for vulnerability data.