CVE-2026-34040 — Docker/Moby AuthZ Plugin Bypass (Lab PoC)

KO: Docker(Moby) के प्राधिकरण (AuthZ) प्लगइन को 1MB से अधिक अनुरोध निकाय के माध्यम से बायपास करने वाली भेद्यता का अभ्यास प्रतिकृति परियोजना है। EN: एक भेद्यता की प्रयोगशाला प्रतिकृति जो बड़े आकार (>1MB) अनुरोध निकाय का उपयोग करके Docker (Moby) प्राधिकरण (AuthZ) प्लगइन्स को बायपास करती है।

Vulnerability facts / भेद्यता तथ्य

KO: आधिकारिक CVSS वेक्टर AV:L (स्थानीय) है। अर्थात मूल्यांकन मानदंड स्थानीय Docker API पहुंच (आमतौर पर /var/run/docker.sock) वाला निम्न-विशेषाधिकार वाला उपयोगकर्ता है। यह PoC भी केवल स्थानीय UNIX सॉकेट का उपयोग करता है। EN: आधिकारिक CVSS वेक्टर AV:L (स्थानीय) है। मूल्यांकित परिदृश्य स्थानीय Docker API पहुंच (आमतौर पर /var/run/docker.sock) वाला निम्न-विशेषाधिकार वाला उपयोगकर्ता है। यह PoC केवल स्थानीय UNIX सॉकेट का उपयोग करता है।

What this demonstrates / यह क्या प्रदर्शित करता है

KO:

1. सामान्य आकार के विशेषाधिकार प्राप्त कंटेनर निर्माण अनुरोध को AuthZ प्लगइन द्वारा अवरुद्ध किया जाता है (HTTP 403)।
2. 1MB से अधिक पैडिंग वाला वही अनुरोध AuthZ जांच को बायपास करता है।
3. बायपास किया गया अनुरोध Docker Daemon प्रसंस्करण चरण तक पहुंचता है और विशेषाधिकार प्राप्त कंटेनर बनाता है।
4. विशेषाधिकार प्राप्त + होस्ट बाइंड माउंट के संयोजन से होस्ट फ़ाइल पढ़ना और होस्ट कमांड निष्पादन प्रदर्शित किया जा सकता है।

EN:

1. एक सामान्य आकार के विशेषाधिकार प्राप्त कंटेनर-निर्माण अनुरोध को AuthZ प्लगइन द्वारा अवरुद्ध किया जाता है (HTTP 403)।
2. 1MB से अधिक पैडिंग वाला वही अनुरोध AuthZ जांच को बायपास करता है।
3. बायपास किया गया अनुरोध Docker डेमन तक पहुंचता है और एक विशेषाधिकार प्राप्त कंटेनर बनाता है।
4. विशेषाधिकार प्राप्त + होस्ट बाइंड माउंट के साथ, होस्ट फ़ाइल पढ़ना और होस्ट कमांड निष्पादन प्रदर्शित किया जा सकता है।

KO: यह CVE स्वयं सीधे /etc/shadow नहीं पढ़ता या RCE नहीं करता। भेद्यता का सार AuthZ को अवरुद्ध करना चाहिए था उस Docker API अनुरोध को बायपास करना है; बाद के चरण (फ़ाइल पढ़ना, chroot, कमांड निष्पादन) सामान्य Docker/Linux सुविधाओं का दुरुपयोग करने वाले प्रभाव प्रदर्शन हैं। EN: यह CVE स्वयं सीधे /etc/shadow नहीं पढ़ता या RCE नहीं करता। भेद्यता Docker API अनुरोध का बायपास है जिसे AuthZ को अवरुद्ध करना चाहिए; बाद के चरण (फ़ाइल पढ़ना, chroot, कमांड निष्पादन) सामान्य Docker/Linux सुविधाओं का दुरुपयोग करने वाले प्रभाव प्रदर्शन हैं।

Repository structure / रिपॉजिटरी संरचना

.
├── README.md
├── poc.py                  # Working PoC (local UNIX socket only)
├── requirements.txt        # Python standard library only
├── LICENSE
├── lab/
│   ├── authz.rego          # OPA policy: blocks privileged + host-root bind
│   └── daemon.json         # Registers the AuthZ plugin
└── docs/
    ├── concepts.md         # 개념 / Concepts
    ├── lab-setup.md        # 환경 구성 / Lab setup
    ├── how-it-works.md     # 동작 원리 / How it works (source-level)
    ├── usage.md            # 사용법 / Usage
    ├── troubleshooting.md  # 문제 해결 / Troubleshooting
    └── references.md       # 참고 / References

Prerequisites / पूर्वापेक्षाएँ

KO: इस PoC के सार्थक रूप से काम करने के लिए निम्नलिखित सभी शर्तें आवश्यक हैं। EN: इस PoC के सार्थक होने के लिए निम्नलिखित सभी आवश्यक हैं।

Quick start / त्वरित आरंभ

# 1) Pull the image used by the PoC
sudo docker pull alpine

# 2) Run the non-destructive bypass check
sudo python3 poc.py --mode check

Expected on a vulnerable target / असुरक्षित लक्ष्य पर अपेक्षित परिणाम:

small request     -> HTTP 403   (AuthZ blocks)
oversized request -> HTTP 201 or HTTP 404   (AuthZ bypassed; daemon processed it)

KO: 404 No such image भी बायपास का प्रमाण है। इसका अर्थ है कि AuthZ ने अवरुद्ध (403) नहीं किया और अनुरोध Docker Daemon के इमेज जांच चरण तक पहुंच गया। प्रस्तुति/डेमो में भ्रम से बचने के लिए पहले alpine को pull करें। EN: 404 No such image अभी भी बायपास का सबूत है — अनुरोध AuthZ से पारित हुआ (403 नहीं) और डेमन की इमेज लुकअप तक पहुंचा। डेमो में भ्रम से बचने के लिए पहले alpine को pull करें।

पूर्ण उपयोग के लिए docs/usage.md देखें। / See docs/usage.md for full usage.

Lab-only warning / केवल प्रयोगशाला चेतावनी

KO: केवल अपने स्वामित्व वाली या स्पष्ट रूप से अनुमति प्राप्त पृथक प्रयोगशाला वातावरण में उपयोग करें। रिमोट Docker API, तृतीय-पक्ष सर्वर, उत्पादन वातावरण, या इंटरनेट पर उजागर Docker एंडपॉइंट के विरुद्ध न चलाएं। प्रभाव-डेमो मोड (rce-proof, host-command, reverse-shell-local) केवल एक स्पष्ट पुष्टिकरण फ़्लैग की आवश्यकता पर काम करते हैं। EN: केवल एक पृथक प्रयोगशाला में उपयोग करें जिसके आप स्वामी हैं या जिसके परीक्षण के लिए आपको स्पष्ट रूप से अधिकृत किया गया है। रिमोट Docker API, तृतीय-पक्ष सर्वर, उत्पादन, या इंटरनेट पर उजागर Docker एंडपॉइंट के विरुद्ध न चलाएं। प्रभाव-डेमो मोड (rce-proof, host-command, reverse-shell-local) के लिए एक स्पष्ट पुष्टिकरण फ़्लैग आवश्यक है।

References / संदर्भ

docs/references.md देखें। / See docs/references.md.