Tugtainer v1.30.2 RCE

このRCEは2つの脆弱性を悪用することで得られます

要するに、SSRF脆弱性を悪用して内部ネットワークの認証されていないサービスを呼び出し、tugtainerと同じPIDを共有するDockerを作成します。これにより、/proc/1/root経由でtugtainer Dockerのファイルシステムにアクセス可能になります。作成されたDockerはルートレベルの権限を持つため、技術的にはtugtainer Dockerシステムに対してルート権限を持つことになります。

セットアップ

このリポジトリの提供されたdocker-compose.ymlを使ってdocker composeを実行するか、以下をコピー＆ペーストしてください。

networks:
  tugtainer:
    driver: bridge

services:
  socket-proxy:
    image: lscr.io/linuxserver/socket-proxy:latest
    container_name: socket-proxy
    environment:
      CONTAINERS: 1
      EVENTS: 1
      IMAGES: 1
      INFO: 1
      LOG_LEVEL: warning
      PING: 1
      NETWORKS: 1
      POST: 1
      TZ: Europe/Moscow
      VERSION: 1
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /run
    networks:
      - tugtainer
    labels:
      dev.quenary.tugtainer.protected: True

  app:
    depends_on:
      - socket-proxy
    container_name: tugtainer
    image: ghcr.io/quenary/tugtainer:1.30.2
    tmpfs:
    - /tugtainer:size=100m
    restart: unless-stopped
    environment:
      DOCKER_HOST: tcp://socket-proxy:2375
    networks:
      - tugtainer
    ports:
      - '9412:80'
    labels:
      dev.quenary.tugtainer.protected: True

エクスプロイト

以下のようにpoc.pyを実行します

$ python poc.py <URL> <PASSWORD> <COMMAND>

例:

$ python poc.py http://localhost:9412 Admin123! "whoami > /proc/1/root/tmp/pwned"

上記のコマンドは、tugtainer Docker内の/tmpにpwnedというファイルを作成します。

免責事項

この概念実証（PoC）は教育、研究、防御目的のみで提供されています。
著者は、本コードの使用に起因するいかなる誤用、損害、不正アクセス、サービス中断、データ損失、または法的影響についても責任を負いません。ユーザーは、本PoCを使用する前に、すべての適用法、規制、および承認要件を遵守する責任を単独で負います。
このPoCは、明示的な許可を得たシステムに対してのみ実行する必要があります。許可されていないシステムのテストは違法かつ非倫理的である可能性があります。
本ソフトウェアを使用することにより、自己責任で使用することに同意したものとみなされます。

人気

tugtainer-1.30.2-CVE-2026-55494-and-CVE-2026-62308-to-RCE