tugtainer-1.30.2-CVE-2026-55494-and-CVE-2026-62308-to-RCE

Tugtainer v1.30.2 RCE

El RCE se obtiene abusando de 2 vulnerabilidades

• CVE-2026-55494
• CVE-2026-62308

En resumen, se abusa de una vulnerabilidad SSRF para llamar a un servicio no autenticado en la red interna y crear un docker que comparte el mismo PID con tugtainer, haciendo así accesible el sistema de archivos del docker de tugtainer a través de /proc/1/root, y dado que el docker creado tiene privilegios de nivel root, técnicamente tienes nivel de root sobre el sistema docker de tugtainer.

Configuración

• Ejecute docker compose con el archivo docker-compose.yml proporcionado en este repositorio, o copie y pegue lo siguiente

networks:
  tugtainer:
    driver: bridge

services:
  socket-proxy:
    image: lscr.io/linuxserver/socket-proxy:latest
    container_name: socket-proxy
    environment:
      CONTAINERS: 1
      EVENTS: 1
      IMAGES: 1
      INFO: 1
      LOG_LEVEL: warning
      PING: 1
      NETWORKS: 1
      POST: 1
      TZ: Europe/Moscow
      VERSION: 1
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /run
    networks:
      - tugtainer
    labels:
      dev.quenary.tugtainer.protected: True

  app:
    depends_on:
      - socket-proxy
    container_name: tugtainer
    image: ghcr.io/quenary/tugtainer:1.30.2
    tmpfs:
    - /tugtainer:size=100m
    restart: unless-stopped
    environment:
      DOCKER_HOST: tcp://socket-proxy:2375
    networks:
      - tugtainer
    ports:
      - '9412:80'
    labels:
      dev.quenary.tugtainer.protected: True

Exploit

• Ejecute poc.py de la siguiente manera

$ python poc.py <URL> <PASSWORD> <COMMAND>

• Por ejemplo

$ python poc.py http://localhost:9412 Admin123! "whoami > /proc/1/root/tmp/pwned"

• El comando anterior debería crear un archivo pwned en el docker de tugtainer en /tmp

Descargo de responsabilidad

• Esta prueba de concepto (PoC) se proporciona únicamente con fines educativos, de investigación y de seguridad defensiva.
• El autor no se hace responsable de ningún uso indebido, daño, acceso no autorizado, interrupción del servicio, pérdida de datos o consecuencias legales derivadas del uso de este código. Los usuarios son los únicos responsables de asegurarse de cumplir con todas las leyes, regulaciones y requisitos de autorización aplicables antes de usar esta PoC.
• Esta PoC solo debe ejecutarse contra sistemas para los cuales tenga permiso explícito para realizar pruebas. Las pruebas no autorizadas de sistemas pueden ser ilegales y poco éticas.
• Al usar este software, usted reconoce que lo hace bajo su propio riesgo.