LONDON (IT BOLTWISE) – Eine lang zurückliegende Schwachstelle im Docker Engine AuthZ-Middleware-Pfad ermöglicht nach aktueller Analyse einen Authentifizierungs-Umgehungsweg. Ein übergroßer API-Request wird vor dem Policy-Plugin abgeschnitten, während der Daemon die vollständige Nutzlast dennoch ausführt. Dadurch kann ein Container mit Root-Rechten und Host-Mounts entstehen, obwohl die Autorisierung eigentlich blockieren sollte. Fix ist mit Docker Engine 29.3.1 und Docker Desktop 4.66.1 bereits seit Ende März verfügbar.
Docker Engine steht erneut im Fokus, weil mit CVE-2026-34040 eine Designlücke ans Licht kommt, die schon seit frühen Versionen in der AuthZ-Bescheinigung stecken soll. Laut technischer Aufarbeitung von Cyera Research Labs vom 27. August 2026 geht es um einen Authorization-Plugin-Bypass: Wenn ein Angreifer über die Docker HTTP API einen Befehl auslöst, der einen Request-Body in ungewöhnlicher Größe mitbringt, entscheidet das Policy-Plugin nicht auf Basis der vollständigen Anfrage. Der Weg ist dabei kein klassischer Kernel- oder Container-Escape über runc, sondern eine Lücke in der Middleware-Schicht zwischen API und Autorisierungslogik. Genau dieser Charakter macht das Thema für Betreiber besonders ungemütlich, weil er eine zentrale Sicherheitsannahme vieler Multi-Tenant-Setups entkräftet.
Im Kern beschreibt die Analyse ein Fail-open-Verhalten, das nach dem Fix zu Fail-closed geändert wurde: Dort, wo der AuthZ-Pfad eigentlich den vollständigen Inhalt einer Anfrage prüfen sollte, wird der Body offenbar bei Überschreitung eines Größenlimits im Zwischenweg abgeschnitten. Die betroffenen Größenordnung wird in der Veröffentlichung mit grob 1 MB bzw. einem anschließenden neuen harten Abweisekriterium von 4 MB eingeordnet. Praktisch heißt das: Das Authorization-Plugin sieht eine leere oder truncierte Body-Version, bewertet sie und erlaubt den Vorgang, während der Docker-Daemon die vollständige, unveränderte Anfrage weiterverarbeitet. Ergebnis ist, dass eine Policy-Engine zwar „erlaubt“ meldet, aber das eigentliche Ziel – etwa das Erstellen eines privilegierten Containers mit Zugriff auf Host-Dateisystembereiche – dennoch erreicht wird.
Die zeitliche Komponente erklärt, warum das Thema im September erneut in den Vordergrund rückt. Docker habe den Fix bereits mit Docker Engine 29.3.1 und Docker Desktop 4.66.1 am 25. März 2026 ausgeliefert; die zugehörige CVE-Referenz führt das entsprechend für die Versionen vor 29.3.1 (und damit auch den von Cyera eingeordneten Zeitraum ab Docker Engine 1.10) zusammen. Bedrohungsradar und Patch-Hygiene hinken jedoch in realen Umgebungen häufig hinter der Veröffentlichungsdynamik her: Die August-27-Recherche liefert nun die technischen Mechaniken so detailliert, dass Security-Teams ihre eigene Exposure-Abklärung gezielter durchführen können. Damit kippt das Risiko von „vermutlich nur theoretisch“ zu „wir müssen prüfen, ob unser AuthZ-Plugin in dieser Konstellation überhaupt zuverlässig geprüft hat“, selbst wenn schon längst eine Version in der Maintenance-Phase geplant war.
Für die tatsächliche Reichweite zählt weniger der CVSS-Wert als die Betriebsrealität. Die Schwachstelle greift nur dort, wo Docker Engine vor 29.3.1 läuft und zusätzlich ein Authorization-Plugin konfiguriert ist, das über die Docker API die Aktionen einschränken soll. Wenn ein Betreiber keinen AuthZ-Plugin-Pfad nutzt, fehlt schlicht die Kontrollinstanz, die durch das beschriebene Fail-open-Pattern „ausgetrickst“ werden könnte. Wo das Setup jedoch multi-tenant-orientiert ist, kann die Exponierung breit sein: Docker Swarm und Kubernetes-Knoten, die noch Docker Engine als Runtime verwenden, teilen dieselbe API-Fassade, über die der Middleware-Schritt läuft. Ebenfalls besonders betroffen sind Plattformen, die auf Policy-Engines wie Open Policy Agent oder Casbin-basierte Module setzen, weil sie genau auf den vollständigen Request-Inhalt angewiesen sind, um „Create privileged container“ und Host-Mount-Zugriffe sauber zu unterbinden.
Beim Abgleich mit früheren Container-CVEs wird der Unterschied klar: Klassische große Ausbrüche in der Container-Welt zielten häufig direkt auf Isolationsebenen oder die Verarbeitung von Containerartefakten. Beispiele aus der Vergangenheit sind etwa runc-basierte Escape-Lücken (2019, CVE-2019-5736) oder Pfad-Traversal-Probleme in Docker-Kommandos (2018, CVE-2018-15664), die das Host-System bzw. die Dateioperationen direkt angreifen. CVE-2026-34040 entfernt dagegen eine Schutzschicht, ohne die grundlegenden Isolationstechniken (Namespaces, cgroups, runc) anzutasten. Das ist aus Angreiferperspektive besonders „günstig“, weil kein Exploit-Kettenbau mit Speicherfehlern nötig ist: Es reicht, die Body-Größe gezielt zu wählen und dadurch zu erreichen, dass das Policy-Plugin nicht das prüft, was der Daemon später ausführt. Genau dieses Zusammenspiel aus niedriger Angriffsbarriere und hoher Wirkung erklärt, warum Forscher es als „leicht zu bewaffnen“ einordnen.
Für die Sicherheitsarchitektur bedeutet das auch: Der Wechsel des Container-Runtimes löst das Problem nicht automatisch. Podman wird oft mit dem Argument „daemonless und rootless-by-default“ diskutiert, und dieser Ansatz kann strukturell verhindern, dass ein lang laufender Root-Daemon Requests an ein AuthZ-Plugin „durchreicht“. Aber für viele Organisationen ist eine Runtime-Migration nicht kurzfristig umsetzbar, weil CI/CD-Pipelines, lokale Developer-Workflows und interne Images an den Docker API-Charakter gekoppelt sind. Kurzfristig bleibt deshalb die Patch-Antwort: Docker Engine auf 29.3.1 (oder neuer) und Docker Desktop auf 4.66.1 (oder neuer) heben die Middleware-Verhaltensweise auf das neue, abweisende Modell an. Danach zählt zusätzlich, wie eng die Docker API im Netzwerk und in den Identitäten abgesichert ist, denn solange ein Angreifer überhaupt ausreichend API-Zugriff bekommt, muss „Defense in Depth“ über mehr als nur ein Policy-Layer funktionieren.
Was Security-Teams jetzt konkret tun sollten, lässt sich aus der beschriebenen Mechanik ableiten, ohne auf später bestätigte „in the wild“-Meldungen zu warten. Zuerst ist die tatsächliche Version zu prüfen, typischerweise mit „docker version“ gegen die Mindeststände aus dem März-Patch. Anschließend lohnt ein Audit, ob ein AuthZ-Plugin tatsächlich aktiv ist und ob es in der betroffenen Fensterkonstellation Body-Checks auf Basis vollständiger Requests erwartet. Darüber hinaus sollte die Exposure von Docker API-Zugriffen als äquivalent zu Host-level-Privileg betrachtet werden, bis die Patches sicher greifen; ein besonders praxisnaher Test ist, ungewöhnlich große Request Bodies in Plugin-Logs zu verifizieren, weil das genau der Pfad ist, an dem die Middleware bisher fehlert. Unabhängig davon, ob man bei „höheren Policy-Layern“ wie OPA oder Casbin investiert hat: Dieser Fall zeigt, dass eine Validierung nur so gut ist wie die Daten, die sie zuverlässig sehen kann.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Docker CVE-2026-34040: AuthZ-Bypass erlaubt Root-Container nach Größen-Check" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Docker CVE-2026-34040: AuthZ-Bypass erlaubt Root-Container nach Größen-Check" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Docker CVE-2026-34040: AuthZ-Bypass erlaubt Root-Container nach Größen-Check« bei Google Deutschland suchen, bei Bing oder Google News!