CVE-2025-64419

Command injection w Coolify via docker-compose.yaml — RCE jako root

CVSS 9.6v3.1pub. 2026-01-05upd. 2026-01-12

Podatność command injection (CWE-77) w Coolify umożliwia atakującemu zdalne wykonanie poleceń jako root na instancji Coolify. Wystarczy, że ofiara utworzy aplikację z repozytorium kontrolowanego przez atakującego przy użyciu build packa 'docker compose'.

▸ Pokaż oryginał (EN)

Coolify is an open-source and self-hostable tool for managing servers, applications, and databases. Prior to version 4.0.0-beta.445, parameters coming from docker-compose.yaml are not sanitized when used in commands. If a victim user creates an application from an attacker repository (using build pack "docker compose"), the attacker can execute commands on the Coolify instance as root. Version 4.0.0-beta.445 fixes the issue.

🤖 Analiza AI

Jak działa

Parametry odczytywane z pliku docker-compose.yaml nie są odpowiednio sanityzowane przed użyciem w poleceniach systemowych. Atakujący przygotowuje złośliwe repozytorium zawierające spreparowany plik docker-compose.yaml z osadzonymi poleceniami. Gdy ofiara (użytkownik Coolify) tworzy aplikację z tego repozytorium korzystając z build packa 'docker compose', kontrolowane przez atakującego wartości trafiają bezpośrednio do poleceń wykonywanych na serwerze. Skutkuje to wykonaniem dowolnych poleceń w kontekście uprawnień root.

Skutki

Atakujący uzyskuje możliwość wykonania dowolnych poleceń na serwerze Coolify z uprawnieniami root, co prowadzi do pełnego przejęcia systemu — kradzieży danych, instalacji backdoorów oraz kompromitacji zarządzanych serwerów, aplikacji i baz danych.

Mitygacja

Należy zaktualizować Coolify do wersji 4.0.0-beta.445 lub nowszej, która zawiera poprawkę tego błędu. Dodatkowo zaleca się nietworzenie aplikacji z niezaufanych repozytoriów do czasu wdrożenia patcha.

Kogo dotyczy

Coolify (Coollabs) w wersjach wcześniejszych niż 4.0.0-beta.445

Uwagi

Podatność wymaga interakcji użytkownika (UI:R) — ofiara musi samodzielnie utworzyć aplikację ze złośliwego repozytorium. Zakres ataku jest rozszerzony (S:C), co odzwierciedla możliwość wpływu na zasoby wykraczające poza samą aplikację Coolify. Poprawka dostępna w commitcie f86ccfaa9af572a5487da8ea46b0a125a4854cf6.