CVE-2026-34040highCWE-288

CVE-2026-34040: fallo de gravedad alta en moby

Moby: AuthZ plugin bypass with oversized request body

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear moby+ Monitorear docker.io

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

41Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 8.8epss 9.3%
de la publicación al arma68 días
Publicada en NVD31 mar
1ª PoC+68d
En resumen

Moby, un framework de contenedores, tenía un defecto que permitía a atacantes eludir las verificaciones de seguridad de autorización enviando solicitudes con cuerpos excesivamente grandes. Esto podría permitir acceso no autorizado a operaciones de contenedores que deberían haber sido bloqueadas.

Detalle técnico

Una vulnerabilidad en Moby anterior a v29.3.1 permite eludir plugins AuthZ mediante manipulación de cuerpo de solicitud sobredimensionado (CWE-288: Autenticación Impropia). El ataque no requiere privilegios y elude directamente controles de autorización, permitiendo operaciones de contenedor no autorizadas con alto impacto en integridad y confidencialidad.

Resumen generado y traducido por IA a partir de la descripción oficial.
Moby is an open source container framework. Prior to version 29.3.1, a security vulnerability has been detected that allows attackers to bypass authorization plugins (AuthZ). This issue has been patched in version 29.3.1.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Productos afectados
moby · moby
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — moby

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2021-21285MEDIUMDocker daemon crash during image pull of malicious imageEPSS 3.3%CVE-2021-41091MEDIUMInsufficiently restricted permissions on data directory in Docker EngineEPSS 2.8%CVE-2023-28840HIGHmoby/moby's dockerd daemon encrypted overlay network may be unauthenticatedEPSS 2.6%CVE-2023-28842MEDIUMmoby/moby's dockerd daemon encrypted overlay network with a single endpoint is unauthenticatedEPSS 1.4%CVE-2021-21284MEDIUMprivilege escalation in MobyEPSS 1.1%