CVE-2026-34040highCWE-288

CVE-2026-34040: falha de alta gravidade em moby

Moby: AuthZ plugin bypass with oversized request body

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar moby+ Monitorar docker.io

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 8.8epss 9.3%
da publicação à arma68 dias
Publicada no NVD31 de mar.
1ª PoC+68d
Em resumo

O Moby, um framework de contêineres, tinha uma falha que permitia invasores contornar as verificações de segurança de autorização enviando requisições com corpos muito grandes. Isso poderia permitir acesso não autorizado a operações de contêineres que deveriam ter sido bloqueadas.

Detalhe técnico

Uma vulnerabilidade no Moby anterior à v29.3.1 permite contorno de plugins AuthZ através de manipulação de corpo de requisição oversized (CWE-288: Autenticação Imprópria). O ataque não requer privilégios e circumventa diretamente controles de autorização, possibilitando operações de contêiner não autorizadas com alto impacto em integridade e confidencialidade.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Moby is an open source container framework. Prior to version 29.3.1, a security vulnerability has been detected that allows attackers to bypass authorization plugins (AuthZ). This issue has been patched in version 29.3.1.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
moby · moby
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — moby

No mesmo produto, das mais perigosas para as menos.

CVE-2024-41110CRITICALMoby authz zero length regressionEPSS 16.5%CVE-2021-21285MEDIUMDocker daemon crash during image pull of malicious imageEPSS 3.3%CVE-2021-41091MEDIUMInsufficiently restricted permissions on data directory in Docker EngineEPSS 2.8%CVE-2023-28840HIGHmoby/moby's dockerd daemon encrypted overlay network may be unauthenticatedEPSS 2.6%CVE-2023-28842MEDIUMmoby/moby's dockerd daemon encrypted overlay network with a single endpoint is unauthenticatedEPSS 1.4%CVE-2021-21284MEDIUMprivilege escalation in MobyEPSS 1.1%