Vulnerabilidad en malcontent de chainguard-dev (CVE-2026-24845)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-522 Credenciales insuficientemente protegidas

Fecha de publicación:

29/01/2026

Última modificación:

20/02/2026

Descripción

malcontent descubre compromisos en la cadena de suministro a través de contexto, análisis diferencial y YARA. A partir de la versión 0.10.0 y antes de la versión 1.20.3, malcontent podría ser forzado a exponer credenciales del registro de Docker si escaneaba una referencia de imagen OCI especialmente diseñada. malcontent utiliza google/go-containerregistry para extracciones de imágenes OCI, que por defecto usa el llavero de credenciales de Docker. Un registro malicioso podría devolver un encabezado &#39;WWW-Authenticate&#39; redirigiendo la autenticación de tokens a un punto final controlado por el atacante, lo que provocaría que las credenciales se enviaran a ese punto final. La versión 1.20.3 soluciona el problema al establecer la autenticación anónima por defecto para las extracciones OCI.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno