Bekannte Sicherheitslücken (CVE) in library/caddy:2.11.1

CVE-ID	Schweregrad	Paket	Betroffene Version	Behobene Version	CVSS-Score
CVE-2026-30836	critical	certificates	<0.30.0	0.30.0	10.0
Summary An attacker can force a Step CA SCEP provisioner to create certificates without completing certain protocol authorization checks. Details SCEP requests carry a message type. On receipt of a SCEP request, Step CA starts processing it by parsing its contents. Message types that were considered valid, but not explicitly supported in Step CA, would result in getting parsed successfully. While processing the parsed SCEP message, authorization logic would be skipped for the non-supported message types. As a result, the request would be treated as authorized, bypassing the authorization checks normally enforced as part of the SCEP protocol and its implementation in Step CA. Authorization webhooks and regular CA policies, such as allowed names and restrictions on certificate validity periods, remain in place. Mitigations If you are unable to upgrade to v0.30.0 or newer, the attack can be mitigated by (temporarily) disabling or removing SCEP provisioners, or restricting access to SCEP provisioners to trusted clients only. Fix In v0.30.0, additional validation was added to SCEP provisioners, so that they reject unsupported message types. Acknowledgements This issue was identified and reported by Prasanth Sundararajan. Embargo List If your organization runs Step CA in production and would like advance, embargoed notification of future security updates, visit https://u.step.sm/disclosure to request inclusion on our embargo list. Stay safe, and thank you for helping us keep the ecosystem secure. If you have urgent questions, please contact security@smallstep.com. Relevance: The relevance of this vulnerability depends on whether it affects Caddy’s core HTTP/S functionality or an optional module, as "normal usage" typically involves basic reverse proxying and static file serving. It would be critical in scenarios where an attacker can exploit the specific flaw to achieve unauthorized access, information disclosure, or a denial of service within a production environment. Without further details on the vulnerability's vector, users should assume high relevance if their configuration utilizes the specific component targeted by the CVE. (Note: Relevance analysis is automatically generated and may require verification.) Package URL(s): `pkg:golang/github.com/smallstep/certificates@0.30.0-rc2.0.20260211214201-20608299c29c` More Info (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-30836
CVE-2026-31789	critical	openssl	<3.5.6-r0	3.5.6-r0	9.8
CVE-2026-33186	critical	grpc	<1.79.3	1.79.3	9.1
CVE-2026-33810	high	pkg:golang/stdlib@1.26.0	>=1.26.0-0,<1.26.2	1.26.2	8.2
CVE-2026-28387	high	openssl	<3.5.6-r0	3.5.6-r0	8.1
CVE-2026-30851	high	caddy	>=2.10.0,<2.11.2	2.11.2	8.1
CVE-2026-40200	high	musl	<1.2.5-r23	1.2.5-r23	8.1
CVE-2026-25679	high	pkg:golang/stdlib@1.26.0	>=1.26.0-0,<1.26.1	1.26.1	7.5
CVE-2026-2673	high	openssl	<3.5.6-r0	3.5.6-r0	7.5
CVE-2026-27135	high	nghttp2	<=1.68.0-r0	not fixed	7.5

CVE-ID

Schweregrad

Paket

Betroffene Version

Behobene Version

CVSS-Score

CVE-2026-30836

critical

certificates

<0.30.0

0.30.0

10.0

Summary

An attacker can force a Step CA SCEP provisioner to create certificates without completing certain protocol authorization checks.

Details

SCEP requests carry a message type. On receipt of a SCEP request, Step CA starts processing it by parsing its contents. Message types that were considered valid, but not explicitly supported in Step CA, would result in getting parsed successfully. While processing the parsed SCEP message, authorization logic would be skipped for the non-supported message types.

As a result, the request would be treated as authorized, bypassing the authorization checks normally enforced as part of the SCEP protocol and its implementation in Step CA.

Authorization webhooks and regular CA policies, such as allowed names and restrictions on certificate validity periods, remain in place.

Mitigations

If you are unable to upgrade to v0.30.0 or newer, the attack can be mitigated by (temporarily) disabling or removing SCEP provisioners, or restricting access to SCEP provisioners to trusted clients only.

Fix

In v0.30.0, additional validation was added to SCEP provisioners, so that they reject unsupported message types.

Acknowledgements

This issue was identified and reported by Prasanth Sundararajan.

Embargo List

If your organization runs Step CA in production and would like advance, embargoed notification of future security updates, visit https://u.step.sm/disclosure to request inclusion on our embargo list.

Stay safe, and thank you for helping us keep the ecosystem secure.

If you have urgent questions, please contact security@smallstep.com.

Relevance:

The relevance of this vulnerability depends on whether it affects Caddy’s core HTTP/S functionality or an optional module, as "normal usage" typically involves basic reverse proxying and static file serving. It would be critical in scenarios where an attacker can exploit the specific flaw to achieve unauthorized access, information disclosure, or a denial of service within a production environment. Without further details on the vulnerability's vector, users should assume high relevance if their configuration utilizes the specific component targeted by the CVE. (Note: Relevance analysis is automatically generated and may require verification.)

Package URL(s):

pkg:golang/github.com/smallstep/certificates@0.30.0-rc2.0.20260211214201-20608299c29c

More Info (NVD):

https://nvd.nist.gov/vuln/detail/CVE-2026-30836

CVE-2026-31789

critical

openssl

<3.5.6-r0

3.5.6-r0

9.8

CVE-2026-33186

critical

grpc

<1.79.3

1.79.3

9.1

CVE-2026-33810

high

pkg:golang/stdlib@1.26.0

>=1.26.0-0,<1.26.2

1.26.2

8.2

CVE-2026-28387

high

openssl

<3.5.6-r0

3.5.6-r0

8.1

CVE-2026-30851

high

caddy

>=2.10.0,<2.11.2

2.11.2

8.1

CVE-2026-40200

high

musl

<1.2.5-r23

1.2.5-r23

8.1

CVE-2026-25679

high

pkg:golang/stdlib@1.26.0

>=1.26.0-0,<1.26.1

1.26.1

7.5

CVE-2026-2673

high

openssl

<3.5.6-r0

3.5.6-r0

7.5

CVE-2026-27135

high

nghttp2

<=1.68.0-r0

not fixed

7.5

Schweregradstufen

Ausnutzung könnte zu schwerwiegenden Konsequenzen wie Systemkompromittierung oder Datenverlust führen. Erfordert sofortige Aufmerksamkeit.

Sicherheitslücke könnte relativ leicht ausgenutzt werden und erhebliche Auswirkungen haben. Erfordert zeitnahe Aufmerksamkeit.

Ausnutzung ist möglich, erfordert aber möglicherweise spezifische Bedingungen. Auswirkungen sind moderat. Sollte zeitnah behoben werden.

Ausnutzung ist schwierig oder die Auswirkungen sind minimal. Kann bei Gelegenheit oder im Rahmen der regulären Wartung behoben werden.

Schweregrad ist nicht bestimmt, informativ oder vernachlässigbar. Überprüfung je nach Kontext.

Über den CVE-Scanner

Der CVE-Scanner ist ein leistungsstarkes Tool, das dir hilft, bekannte Sicherheitslücken in deinen Docker-Images zu identifizieren. Indem deine Images mit einer umfassenden Datenbank von Common Vulnerabilities and Exposures (CVEs) abgeglichen werden, kannst du sicherstellen, dass deine Anwendungen sicher und auf dem neuesten Stand sind. Für weitere Details, schau dir die NIST CVE-Datenbank an.

Warum CVE-Scanning für deine Docker-Images wichtig ist

Mit dem Anstieg von Supply-Chain-Angriffen ist die Sicherung deiner Anwendungen wichtiger denn je. CVE-Scanning spielt eine entscheidende Rolle bei der Identifizierung von Sicherheitslücken, die von Angreifern ausgenutzt werden könnten, insbesondere solche, die durch Abhängigkeiten und Drittanbieter-Komponenten eingeführt werden. Regelmäßiges Scannen und Sichern deiner Docker-Images ist essenziell, um deine Anwendungen vor diesen sich entwickelnden Bedrohungen zu schützen.

Was ist eine CVE?

CVE steht für Common Vulnerabilities and Exposures. Es ist ein standardisierter Bezeichner für bekannte Sicherheitslücken, der Entwicklern und Organisationen ermöglicht, potenzielle Risiken effektiv zu verfolgen und zu beheben. Für weitere Informationen, besuche cve.mitre.org.

Vorteile des CVE-Scannens

Erhöhte Sicherheit: Erkenne und behebe Sicherheitslücken, bevor sie ausgenutzt werden.
Compliance: Erfülle Branchenstandards und regulatorische Anforderungen für sichere Software.
Proaktive Wartung: Bleibe potenziellen Bedrohungen einen Schritt voraus, indem du Sicherheitslücken frühzeitig behebst.

Wie der CVE-Scanner funktioniert

Der CVE-Scanner analysiert deine Docker-Images anhand einer umfassenden Datenbank bekannter Sicherheitslücken. Er nutzt Docker Scout im Hintergrund, um detaillierte Einblicke in betroffene Pakete, Schweregradstufen und verfügbare Fixes zu liefern, sodass du sofort handeln kannst.

Die Bedeutung des Patchens von Docker-Images

Das Patchen deiner Docker-Images ist ein entscheidender Schritt, um die Sicherheit und Stabilität deiner Anwendungen zu gewährleisten. Durch regelmäßige Updates deiner Images mit den neuesten Sicherheitspatches kannst du bekannte Sicherheitslücken beheben und das Risiko einer Ausnutzung reduzieren. Dieser proaktive Ansatz stellt sicher, dass deine Anwendungen widerstandsfähig gegenüber neuen Bedrohungen bleiben und hilft, die Einhaltung von Sicherheitsstandards zu gewährleisten.

CVE-Scan für caddy:2.11.1

Docker-Image-Sicherheitslücken-Scanner

45 Bekannte Sicherheitslücken in diesem Docker-Image

Summary

Details

Mitigations

Fix

Acknowledgements

Embargo List

Schweregradstufen

Über den CVE-Scanner

Warum CVE-Scanning für deine Docker-Images wichtig ist

Was ist eine CVE?

Vorteile des CVE-Scannens

Wie der CVE-Scanner funktioniert

Die Bedeutung des Patchens von Docker-Images

Du willst dieses Image deployen?