cve-images — намеренно уязвимые лабораторные образы

Коллекция намеренно уязвимых Docker-образов для изучения безопасности в изолированной лаборатории. Начиналась как воспроизведение CVE в nginx и расширяется до более широкого набора образов, уязвимых по замыслу (например, DVWA).

⚠️ Безопасность

Эти образы уязвимы намеренно. Одна из CVE в nginx (CVE-2026-42945) активно эксплуатируется в реальных условиях. Запускайте их только в изолированной/локальной сети. Никогда не разворачивайте на публичном хосте и не публикуйте их как производственные образы. Каждый образ содержит lab.vulnerable=true и описание, предупреждающее об этом.

CVE-образы nginx

Все собраны на общей базе, которая компилирует nginx 1.30.0 из исходников — последний релиз, затронутый этими CVE (исправлено в 1.30.1 / 1.31.0).

Образы приложений

В каждой папке есть собственный README.md с подробностями и ссылками.

Локальная сборка

Сначала нужно собрать базовый образ nginx (CVE-образы используют его в FROM):

docker build -t rwils83/nginx-vuln-base:1.30.0 ./base
docker build -t rwils83/cve-2026-42945:1.30.0 ./cve-2026-42945-rewrite-lab
docker build -t rwils83/cve-2026-42946:1.30.0 ./cve-2026-42946-scgi-uwsgi-lab
docker build -t rwils83/cve-2026-40701:1.30.0 ./cve-2026-40701-resolver-lab
docker build -t rwils83/cve-2026-42934:1.30.0 ./cve-2026-42934-charset-lab
docker build -t rwils83/dvwa_with_curl:latest ./dvwa-curl-lab

./build_all.sh собирает набор nginx (базовый образ + 4 CVE-образа).

Релизы (GitHub Actions → Docker Hub)

CI собирает каждый образ *-lab/ при каждом PR/push (только сборка, без публикации), чтобы выявить поломки до слияния. Публикация управляется git-тегами:

git tag v1.30.0-lab.2 && git push --tags    # release the nginx images
git tag dvwa-v1        && git push --tags    # release DVWA

Для публикации требуются секреты репозитория DOCKERHUB_USERNAME и DOCKERHUB_TOKEN.