moby SwarmKit: Rechteausweitung von Worker zu Manager im Cluster-API-Proxy
Zusammenfassung
SwarmKit, das Orchestrierungs-Toolkit hinter dem Swarm-Modus von Docker, weist einen Fehler im Cluster-API-Proxy auf, durch den die TLS-Identität eines weitergeleiteten Clients durch die Identität eines zwischengeschalteten Managers überschrieben werden kann. Ein Angreifer mit einem gültigen TLS-Zertifikat und privatem Schlüssel eines Worker-Knotens kann während eines kurzen Zeitfensters nach einem Leaderwechsel über zwei Proxy-Hops mit inkonsistenten Leader-Sichten ein Manager-Knoten-Zertifikat für seinen eigenen Schlüssel erhalten. Dadurch werden Rechte von Worker auf Manager ausgeweitet, was die Kontrolle über den gesamten Cluster ermöglicht. Betroffen sind Anwendungen, die mit einer verwundbaren SwarmKit-Version und grpc-go 1.39 oder neuer erstellt wurden.
Betroffen
- github.com/moby/swarmkit/v2 vor 2.1.3
- SwarmKit ab 1.12.1-0.20220307221335-616e8db4c3b0 (gemäss CVE-Eintrag, Status unklar)
- Docker Engine ab 23.0.0 (gemäss CVE-Eintrag; Status der korrigierten Versionen unklar)
- Moby bis 2.0.0-beta.28 (gemäss CVE-Eintrag)
- Eigene Go-Anwendungen, die eine verwundbare SwarmKit-Version und grpc-go 1.39 oder neuer einbinden
Behoben in
- github.com/moby/swarmkit/v2 Version 2.1.3 oder neuer (gemäss GHSA-Advisory)
- Docker Engine 29.9.3 wird von Sekundärquellen als Version mit dem Fix genannt; bitte anhand der offiziellen Release Notes von Docker prüfen.
Umgehung
Unbekannt. Es wurde kein dokumentierter Workaround gefunden; der Herstellerweg ist das Update.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt; kein öffentlicher Proof of Concept gefunden.
- Die CVE wurde am 10. November 2026 veröffentlicht, daher kann sich der Status rasch ändern.
Unsere Empfehlung
- Prüfen, ob Docker Swarm-Modus oder eigene Go-Anwendungen mit SwarmKit eingesetzt werden; falls nicht, ist keine Massnahme nötig.
- SwarmKit auf 2.1.3 oder neuer aktualisieren und betroffene eigene Anwendungen neu erstellen; Docker Engine auf eine Version mit dem Fix aktualisieren.
- Festlegen, wer Worker-Join-Tokens erhalten kann, unbekannte Knoten in der Cluster-Mitgliedschaft prüfen und Zertifikate potenziell kompromittierter Worker erneuern oder widerrufen.
- Für Swarm-Nutzer als mittlere Priorität behandeln und im nächsten Wartungsfenster patchen; höhere Priorität, falls Worker auf weniger vertrauenswürdigen Hosts laufen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-628g-hv7f-pgjc github.com
- CVE Record CVE-2026-115539 www.cve.org
- OSV BELL-CVE-2026-115539 osv.dev
- Tenable plugin 478586 www.tenable.com
- moby/swarmkit repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:46.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.