Docker Distribution : absence de vérification du digest des manifestes

Veille sécuritéCloud & DevOps

P4Moyenne

Le client de Docker Distribution ne vérifiait pas que le contenu d’un manifeste reçu correspondait au digest demandé, ce qui pouvait permettre la substitution de contenu lors d’une requête épinglée par digest. Le correctif est inclus dans Distribution 3.1.2 ; mettre à niveau les installations concernées et leurs caches proxy.

IdentifiantCVE-2026-85747

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.1.2

Source : NVD — CVE-2026-85747

Analyse technique

Une réponse de registre malveillante ou interceptée pouvait fournir un manifeste dont le corps n’était pas haché pour le comparer au digest demandé ; le cache pull-through pouvait ensuite conserver et resservir ce manifeste substitué.

Impact, versions et correctif

Événement datéLa fiche candidate indique une publication NVD le 2026-10-13, dans la période. Le dépôt Distribution associe le correctif à la version 3.1.2 ; la page de publication consultée date cette version du 2026-09-24, donc la date retenue ici est celle de publication de la vulnérabilité, pas celle du correctif.

ImpactUne réponse de registre substituée pouvait être acceptée malgré une requête épinglée par digest ; le proxy pull-through pouvait mettre en cache et resservir le manifeste non vérifié.

Versions affectéesVersions antérieures à 3.1.2.

Version corrigée3.1.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.8

Publication2026-10-13

Action recommandée

Mettre à niveau Docker Distribution vers la version 3.1.2 ou une version corrigée, y compris les installations utilisant le proxy de registre intégré.

Sources

NVD — CVE-2026-85747

Priorisation DFS : P4 · 1 source(s).