Docker Engine: Overlay-Verschlüsselung nach firewalld-Reload nicht wiederhergestellt

Zusammenfassung

Docker Engine (Swarm-Modus) und Moby stellen die iptables-Regeln für verschlüsselte Overlay-Netzwerke nach dem Löschen durch firewalld nicht wieder her. Der Datenverkehr zwischen Swarm-Knoten wird danach im Klartext übertragen, und unverschlüsselter VXLAN-Verkehr wird wieder akzeptiert, sodass ein Angreifer im Netzwerkpfad Container-Verkehr mitlesen oder einschleusen kann. Betroffen sind nur Knoten mit firewalld in einer Konfiguration, die iptables-Regeln anderer Anwendungen löscht; der Zustand wird nicht protokolliert und bleibt bestehen, bis dockerd neu gestartet wird.

Betroffen

• Docker Engine: Versionen vor 29.9.3
• Moby: Versionen vor v2.0.0-beta.29
• Betroffene Knoten: Linux-Swarm-Knoten mit mindestens einem Task oder Container in einem verschlüsselten Overlay-Netzwerk, auf denen firewalld mit FirewallBackend=iptables läuft, oder mit FirewallBackend=nftables ohne firewalld-Commit b7faa74 (firewalld 2.0.0 oder neuer, firewalld-1.2.5-1.el9, firewalld-0.9.11-9.el8), oder mit firewalld-Direktregeln oder Passthrough-Regeln

Behoben in

• Docker Engine 29.9.3 oder neuer
• Moby v2.0.0-beta.29 oder neuer
• Alpaquita Linux-Pakete: 29.9.3-r0 (laut OSV; gilt nur für diese Distribution)
• Andere Distributionen: Unbekannt. Prüfen Sie den Security-Tracker Ihres Anbieters.

Umgehung

• dockerd nach jedem firewalld-Reload, Stopp oder Start neu starten; dadurch werden auch die Swarm-Tasks des Knotens neu gestartet
• Alternativ FirewallBackend=nftables mit einem firewalld-Build, der Commit b7faa74 enthält, verwenden und sämtliche firewalld-Direktkonfigurationen entfernen
• Eingehenden UDP-Verkehr auf den VXLAN-Port (Standard 4789) an der Internetgrenze blockieren; dies schützt die Vertraulichkeit des Verkehrs zwischen den Knoten nicht

Ausnutzung

• Die Herstellerhinweise und der CVE-Eintrag erwähnen keine Ausnutzung.
• Ein sekundärer Aggregator meldet, dass keine Ausnutzung bekannt ist.
• Bei der Recherche wurde kein öffentlicher Proof of Concept oder Exploit gefunden. CISA KEV und Exploit-DB wurden nicht direkt geprüft.

Unsere Empfehlung

• Prüfen Sie, ob Swarm-Knoten verschlüsselte Overlay-Netzwerke und firewalld verwenden (systemctl is-active firewalld).
• Aktualisieren Sie Docker Engine auf 29.9.3 oder neuer bzw. Moby auf v2.0.0-beta.29 oder neuer.
• Starten Sie bis zur Behebung dockerd nach jeder firewalld-Änderung neu.
• Blockieren Sie externen Zugriff auf den UDP-Port 4789.
• Priorisieren Sie Multi-Node-Swarm-Cluster, die sensible Daten über unsichere oder geteilte Netzwerke übertragen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6jhp-7446-hf7f github.com
• CVE Record CVE-2026-115538 www.cve.org
• Docker v29.9.3 release notes github.com
• OSV entry BELL-CVE-2026-115538 osv.dev
• Moby pull request 54116 (29.x backport) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:28.