cve-images — images de laboratoire intentionnellement vulnérables

Une collection d'images Docker délibérément vulnérables pour l'étude de la sécurité dans un laboratoire isolé. Commencé comme reproductions de CVE nginx et s'étend maintenant à un ensemble plus large d'images vulnérables par conception (par exemple DVWA).

⚠️ Sécurité

Ces images sont vulnérables volontairement. L'une des CVE nginx (CVE-2026-42945) est exploitée dans la nature. Exécutez-les uniquement sur un réseau isolé/local. Ne les déployez jamais sur un hôte public et ne les publiez jamais comme s'il s'agissait d'images de production. Chaque image porte lab.vulnerable=true et une description le mentionnant.

Images nginx CVE

Toutes construites sur une base commune qui compile nginx 1.30.0 à partir des sources — la dernière version affectée par ces CVE (corrigée dans 1.30.1 / 1.31.0).

Images d'application

Chaque dossier a son propre README.md avec des détails et des références.

Construire localement

La base nginx doit être construite en premier (les images CVE FROM celle-ci) :

docker build -t rwils83/nginx-vuln-base:1.30.0 ./base
docker build -t rwils83/cve-2026-42945:1.30.0 ./cve-2026-42945-rewrite-lab
docker build -t rwils83/cve-2026-42946:1.30.0 ./cve-2026-42946-scgi-uwsgi-lab
docker build -t rwils83/cve-2026-40701:1.30.0 ./cve-2026-40701-resolver-lab
docker build -t rwils83/cve-2026-42934:1.30.0 ./cve-2026-42934-charset-lab
docker build -t rwils83/dvwa_with_curl:latest ./dvwa-curl-lab

./build_all.sh construit l'ensemble nginx (base + 4 images CVE).

Versions (GitHub Actions → Docker Hub)

L'IC construit chaque image *-lab/ à chaque PR/push (construction uniquement, pas de push) pour détecter les pannes avant la fusion. La publication est pilotée par les tags git :

git tag v1.30.0-lab.2 && git push --tags    # publier les images nginx
git tag dvwa-v1        && git push --tags    # publier DVWA

La publication nécessite les secrets du dépôt DOCKERHUB_USERNAME et DOCKERHUB_TOKEN.