CVE-2026-62308: критическая SSRF-уязвимость в Tugtainer

В системе автоматизации обновлений Docker-контейнеров Tugtainer выявлена уязвимость, получившая идентификатор CVE-2026-62308. Она относится к классу атак «подделка серверных запросов» (SSRF) и позволяет пользователю, прошедшему аутентификацию, инициировать исходящие HTTP-запросы с сервера на произвольные адреса, контролируемые злоумышленником.

Подробности

Уязвимость затрагивает продукт Tugtainer от разработчика Quenary — self-hosted приложение для автоматизации обновлений Docker-контейнеров. Проблема присутствует в версиях до 1.30.6 включительно.

Причина уязвимости — эндпоинт /settings/test_notification. Он принимает поле urls и передаёт его напрямую в библиотеку Apprise без какой-либо валидации. Отсутствуют ограничения на используемые протоколы, имена хостов, адреса localhost, диапазоны частных IP-адресов и адреса облачных метаданных (cloud metadata).

В результате аутентифицированный пользователь может эксплуатировать этот эндпоинт как слепую SSRF-атаку: сервер будет выполнять запросы к внутренним ресурсам, недоступным извне. Это может привести к утечке данных, взаимодействию с внутренними сервисами и, в худшем случае, к получению учётных данных через сервисы облачных метаданных.

Уязвимости присвоена оценка CVSS 9.1, что соответствует критическому уровню опасности. Для эксплуатации требуется наличие учётной записи в приложении, однако в self-hosted сценариях такие аккаунты нередко доступны ограниченному кругу пользователей или выдаются по умолчанию, что повышает риск.

Что делать

Разработчик выпустил исправление в версии 1.30.6. Основная рекомендация — обновить Tugtainer до версии 1.30.6 или более поздней. Обновление закрывает проблему на уровне валидации URL в эндпоинте тестирования уведомлений.

Если немедленное обновление невозможно, следует рассмотреть временные меры:

• ограничить доступ к эндпоинту /settings/test_notification и к панели настроек только доверенными пользователями;
• изолировать контейнер Tugtainer в отдельной сети, ограничив исходящие соединения межсетевым экраном;
• заблокировать на уровне сети доступ к диапазонам частных IP и к адресам облачных метаданных (например, 169.254.169.254) из контейнера;
• проверить журналы на предмет подозрительных исходящих запросов от приложения.

Итог: CVE-2026-62308 — серьёзная уязвимость, требующая приоритетного внимания администраторов, использующих Tugtainer. Обновление до версии 1.30.6 устраняет проблему, а до его установки снизить риск помогут сетевые ограничения и контроль доступа. При эксплуатации в облачных средах уязвимость особенно опасна из-за возможности обращения к сервисам метаданных.

Источник: CVE Project (cvelistV5)