cve-images — imagens de laboratório intencionalmente vulneráveis

Uma coleção de imagens Docker deliberadamente vulneráveis para estudo de segurança em um laboratório isolado. Começou como reproduções de CVEs do nginx e está crescendo para um conjunto mais amplo de imagens vulneráveis por design (ex.: DVWA).

⚠️ Segurança

Essas imagens são vulneráveis de propósito. Um dos CVEs do nginx (CVE-2026-42945) está sendo explorado ativamente. Execute-as apenas em uma rede isolada/local. Nunca as implante em um host público e nunca as publique como se fossem imagens de produção. Cada imagem carrega lab.vulnerable=true e uma descrição informando isso.

Imagens de CVEs do nginx

Todas construídas sobre uma base compartilhada que compila nginx 1.30.0 a partir do código-fonte — a última versão afetada por esses CVEs (corrigidos em 1.30.1 / 1.31.0).

Imagens de aplicações

Cada pasta tem seu próprio README.md com detalhes e referências.

Construir localmente

A base do nginx precisa ser construída primeiro (as imagens CVE usam FROM nela):

docker build -t rwils83/nginx-vuln-base:1.30.0 ./base
docker build -t rwils83/cve-2026-42945:1.30.0 ./cve-2026-42945-rewrite-lab
docker build -t rwils83/cve-2026-42946:1.30.0 ./cve-2026-42946-scgi-uwsgi-lab
docker build -t rwils83/cve-2026-40701:1.30.0 ./cve-2026-40701-resolver-lab
docker build -t rwils83/cve-2026-42934:1.30.0 ./cve-2026-42934-charset-lab
docker build -t rwils83/dvwa_with_curl:latest ./dvwa-curl-lab

./build_all.sh constrói o conjunto do nginx (base + 4 imagens CVE).

Lançamentos (GitHub Actions → Docker Hub)

O CI constrói todas as imagens *-lab/ a cada PR/push (somente build, sem push) para detectar quebras antes do merge. A publicação é conduzida por tags git:

git tag v1.30.0-lab.2 && git push --tags    # release the nginx images
git tag dvwa-v1        && git push --tags    # release DVWA

A publicação exige os secrets do repositório DOCKERHUB_USERNAME e DOCKERHUB_TOKEN.