CVE-2026-58455: Kritisk fejl i Dockwatch

CVE-2026-58455 er en sårbarhed i styringsværktøjet Dockwatch, som bruges til at overvåge og administrere Docker-containere. Fejlen skyldes kommandoinjektion, hvor et program videresender brugerinput direkte til systemets kommandolinje uden at rense det først. I Dockwatch mangler filen loader.php et afsluttende exit()-kald efter en login-omdirigering, hvilket gør det muligt at snyde systemet til at tro, man er logget ind. Derefter kan man via parameteren composePath i funktionen ajax/compose.php sende vilkårlige shell-kommandoer, som serveren udfører. Da Dockwatch typisk får adgang til Dockers styresystem-sokkel for at kunne administrere containere, kan en angriber bruge denne adgang til at overtage hele værtsserveren, ikke kun containerne.

Sårbarheden rammer alle installationer af Dockwatch til og med version 0.6.567. Det gælder virksomheder og it-afdelinger, der bruger Dockwatch som dashboard til at overvåge Docker-drift, ofte udviklingsteams, hostingudbydere og virksomheder med egen serverdrift. Er Dockwatch tilgængeligt fra internettet, eller kan det tilgås fra et internt netværk, hvor en angriber allerede har fodfæste, er systemet i farezonen.

En angriber uden brugernavn og adgangskode kan sende en enkelt forespørgsel og få serveren til at udføre vilkårlige kommandoer. Fordi Dockwatch normalt har adgang til Dockers styresystem-sokkel, kan angriberen bruge den adgang til at bryde ud af containeren og overtage selve serveren. I praksis betyder det, at angriberen kan installere skadelig software, stjæle data fra andre systemer på samme server, eller bruge serveren som springbræt videre ind i virksomhedens netværk.

CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i højeste grad, altså fuld kontrol over data og system. Den offentliggjorte beskrivelse indeholder de konkrete parametre og trin, der skal til for at udnytte fejlen, hvilket gør det enkelt for en angriber at omsætte til et fungerende angreb.

Følg punkterne i rækkefølge, da det første lukker selve hullet.

1. Fjern Dockwatch fra internettet med det samme, eller spær adgangen med en firewall, så kun betroede ip-adresser kan nå systemet.
2. Gennemgå logfiler for kald til ajax/compose.php og parameteren composePath for at afgøre, om systemet allerede er blevet udnyttet.
3. Er der tegn på misbrug, isolér serveren fra netværket, skift alle adgangskoder og nøgler, der har været tilgængelige fra serveren, og undersøg om Docker-soklen er blevet brugt til at tilgå værtsmaskinen.
4. Opdatér til en nyere version af Dockwatch, når en rettelse foreligger. Findes der ingen rettelse endnu, bør Dockwatch tages permanent ud af drift eller erstattes, indtil en sikker version findes.
5. Undgå fremover at montere Dockers styresystem-sokkel direkte i værktøjer, der er tilgængelige fra netværket, medmindre det er strengt nødvendigt.
6. Er I i tvivl om, hvorvidt systemet allerede er kompromitteret, eller mangler I kapacitet til at gennemføre undersøgelsen, bør I hente ekstern hjælp til logningsanalyse og oprydning.