CVE-2026-44849

Portainer pozwala administratorom konfigurować siedem kategorii ograniczeń (EndpointSecuritySettings), takich jak tryb uprzywilejowany, przestrzeń nazw PID hosta, mapowanie urządzeń, capabilities, sysctls, opcje security-opt (Seccomp/AppArmor) oraz bind mounts. Ograniczenia te są egzekwowane wyłącznie na standardowej ścieżce tworzenia kontenerów, natomiast nie są sprawdzane podczas tworzenia usług przez API Docker Swarm. Uwierzytelniony użytkownik bez uprawnień administratora może zatem wysłać żądanie do endpointu Docker Swarm, omijając w ten sposób wszystkie niewdrożone tam polityki bezpieczeństwa (CWE-862: Missing Authorization).

Atakujący z dostępem do konta zwykłego użytkownika może uruchomić kontenery z uprzywilejowanymi konfiguracjami — w tym w trybie uprzywilejowanym lub ze współdzieloną przestrzenią nazw PID hosta — co może prowadzić do przejęcia kontroli nad hostem Docker oraz naruszyć integralność i dostępność całego środowiska kontenerowego.

Należy zaktualizować Portainer Community Edition do wersji 2.33.8, 2.39.2 lub 2.41.0, w których błąd został naprawiony. Jako środek tymczasowy należy rozważyć ograniczenie dostępu użytkowników bez uprawnień administratora do funkcji Docker Swarm lub wyłączenie integracji ze Swarm do czasu wdrożenia patcha.

Portainer Community Edition w wersjach od 2.33.0 do (ale nie włącznie) 2.33.8, a także wersje przed 2.39.2 i przed 2.41.0, zarządzające środowiskami Docker Swarm.

Podatność dotyczy wyłącznie środowisk z aktywnym Docker Swarm; standardowa ścieżka tworzenia kontenerów pozostaje objęta ograniczeniami. Szczegóły dostępne w oficjalnym security advisory na GitHub: GHSA-5fxq-qcf3-244w.