Tugtainer v1.30.2 RCE

该RCE通过滥用两个漏洞实现：

简而言之，利用SSRF漏洞调用内部网络中一个未认证的服务，创建一个与tugtainer共享相同PID的docker，从而通过/proc/1/root访问tugtainer docker的文件系统，并且由于创建的docker具有root级别权限，技术上你就在tugtainer docker系统中拥有root权限。

设置

使用本仓库中提供的docker-compose.yml运行docker compose，或者复制粘贴以下内容：

networks:
  tugtainer:
    driver: bridge

services:
  socket-proxy:
    image: lscr.io/linuxserver/socket-proxy:latest
    container_name: socket-proxy
    environment:
      CONTAINERS: 1
      EVENTS: 1
      IMAGES: 1
      INFO: 1
      LOG_LEVEL: warning
      PING: 1
      NETWORKS: 1
      POST: 1
      TZ: Europe/Moscow
      VERSION: 1
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock:ro
    restart: unless-stopped
    read_only: true
    tmpfs:
      - /run
    networks:
      - tugtainer
    labels:
      dev.quenary.tugtainer.protected: True

  app:
    depends_on:
      - socket-proxy
    container_name: tugtainer
    image: ghcr.io/quenary/tugtainer:1.30.2
    tmpfs:
    - /tugtainer:size=100m
    restart: unless-stopped
    environment:
      DOCKER_HOST: tcp://socket-proxy:2375
    networks:
      - tugtainer
    ports:
      - '9412:80'
    labels:
      dev.quenary.tugtainer.protected: True

利用

按以下方式运行poc.py：

$ python poc.py <URL> <PASSWORD> <COMMAND>

例如：

$ python poc.py http://localhost:9412 Admin123! "whoami > /proc/1/root/tmp/pwned"

上述命令将在tugtainer docker的/tmp目录下创建一个名为pwned的文件。

免责声明

本概念验证（PoC）仅供教育、研究和防御性安全目的使用。
作者对因使用本代码而导致的任何误用、损害、未授权访问、服务中断、数据丢失或法律后果概不负责。用户在使用本PoC前，有责任确保其遵守所有适用的法律、法规和授权要求。
本PoC仅应在您拥有明确测试许可的系统上执行。未经授权测试系统可能是非法且不道德的。
使用本软件即表示您承认自行承担风险。

最受欢迎

tugtainer-1.30.2-CVE-2026-55494-and-CVE-2026-62308-to-RCE