Docker Engine 29.9.3, Swarm ve BuildKit açıklarını kapatıyor

Docker Engine 29.9.3, dört CVE kaydı ve BuildKit v0.34.2 ile gelen iki güvenlik düzeltmesini içeren bir yama sürümü olarak yayımlandı. Düzeltmeler Swarm overlay ağlarını, SwarmKit sertifika dağıtımını, RSA anahtarı ve zstd işlemeyi ve BuildKit control API’lerini kapsıyor.

Docker Engine nedir, ne işe yarar?

Docker Engine, Linux ve diğer sistemlerde container oluşturup çalıştıran açık kaynak runtime ve daemon’dur. Kaynak kodu Moby projesinde geliştirilir. Image build işini BuildKit üstlenir, birden çok host’u tek cluster gibi yönetmek için yerleşik Swarm modu bulunur. Geliştiriciler ve sunucu yöneticileri yaygın kullanır. Alternatifleri arasında Podman ve containerd sayılabilir.

Docker Engine 29.9.3’teki düzeltmelerin ağırlığı Swarm ve BuildKit kullananlarda. Tek host’ta, Swarm’sız ve paylaşımlı build servisi olmadan çalışan bir kurulum için risk daha çok denial of service tarafında kalıyor.

Docker Engine 29.9.3 hangi ortamları ilgilendiriyor

• CVE-2026-115539: Geçerli bir worker node TLS sertifikası ve private key’i olan saldırgan, Swarm lider değişiminden kısa süre sonra manager sertifikası alabiliyor. Bu bir privilege escalation (yetki yükseltme). Önkoşul, ele geçirilmiş bir worker.
• CVE-2026-115538: firewalld, Docker’ın iptables kurallarını silince Swarm overlay ağlarında şifreleme ve spoofing korumaları devreden çıkabiliyor. firewalld kullanan Swarm host’ları etkileniyor.
• BuildKit control API’lerine erişebilen bir client, state dizini dışındaki dosyalara extended attribute yazabiliyor. Bu, host’taki programlara yükseltilmiş yetki kazandırabilir. Build daemon’unu CI runner’larıyla paylaşan ekipler burada öncelikli.
• CVE-2026-116587 ve CVE-2026-116591 ile Git kaynak çözümleme hatası; CPU tüketimi, panic ya da daemon çökmesiyle sonuçlanıyor.

Kaynak CVSS puanı, etkilenen sürüm aralığı ve exploit durumu vermiyor.

Yükseltme sırası

1. Önce Swarm manager’larını, firewalld kullanan Swarm host’larını ve paylaşımlı build host’larını Docker Engine 29.9.3 sürümüne taşıyın.
2. Sürümü ve Swarm durumunu kontrol edin:

docker version
docker info
docker node ls

1. Manager üzerindeki docker node ls çıktısında beklemediğiniz bir manager node var mı, bakın.
2. Bir worker’ın anahtarının sızdığından şüpheleniyorsanız yamadan sonra o node’u cluster’dan çıkarıp yeniden katın.
3. BuildKit control API’lerine kimlerin eriştiğini daraltın; ağdan erişilebiliyorsa bu erişimi kapatın.

CVE kayıtları: CVE-2026-115539, CVE-2026-115538, CVE-2026-116587

Proje sayfası: moby/moby