CVE-2026-120460: bypass autorizzazione Docker in Jpom, come verificare e mitigare

CVE-2026-120460 è una vulnerabilità di bypass dell'autorizzazione in Jpom, la piattaforma open source di gestione e deploy usata anche per amministrare host Docker. Fino alla versione 2.11.12 un utente autenticato con permessi Docker in un qualsiasi workspace può operare sugli host Docker di altri workspace, fino a creare container privilegiati con bind mount dell'host. Il punteggio CVSS è 8.8 (alta gravità). Non risulta sfruttata attivamente nel catalogo CISA KEV. Se usate Jpom per gestire container, verificate la versione e limitate subito i permessi Docker.

Cosa è successo: la vulnerabilità CVE-2026-120460 in Jpom

Jpom organizza utenti e risorse in workspace separati. Ogni workspace dovrebbe vedere solo i propri asset Docker. La descrizione ufficiale indica che i controller che gestiscono container e immagini accettano l'id dell'asset Docker fornito dal client e lo risolvono senza verificare che appartenga al workspace dell'utente. Nel codice della versione 2.11.12, nelle classi DockerContainerController e DockerImagesController, il metodo toDockerParameter carica il record Docker dal solo id e controlla soltanto che esista. Basta quindi conoscere o indovinare l'id di un asset altrui per usarlo. È un caso classico di autorizzazione a livello di oggetto mancante (il tipo di difetto noto come IDOR). Il problema è distinto dal bypass di autenticazione descritto in CVE-2026-120201 su Jpom, ma riguarda lo stesso prodotto e conviene valutarli insieme.

Chi è colpito: versioni vulnerabili di Jpom

Sono vulnerabili tutte le versioni di Jpom fino alla 2.11.12 inclusa. La versione che contiene la correzione non è indicata nel brief: va verificata sul repository ufficiale, dove è pubblicato il commit di fix. Sono interessate le installazioni in cui:

• esistono più workspace con utenti diversi;
• almeno un utente, oltre agli amministratori, ha il permesso Docker in un workspace;
• sono censiti host Docker come asset condivisi tra workspace.

Un'installazione con un solo workspace e un solo amministratore ha una superficie di rischio ridotta, ma resta esposta se le credenziali di quell'utente vengono compromesse o se in futuro si aggiungono utenti.

Quanto è grave: punteggio CVSS e sfruttamento attivo di CVE-2026-120460

Il vettore è CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. In pratica: attacco via rete, bassa complessità, servono privilegi bassi (un account con permesso Docker), nessuna interazione di altri utenti, impatto alto su riservatezza, integrità e disponibilità. Chi sfrutta la falla può su host Docker di altri workspace:

• avviare, fermare ed eliminare container;
• scaricare e usare immagini arbitrarie;
• creare e montare volumi, modificare le reti;
• creare container privilegiati con bind mount di directory dell'host.

L'ultimo punto è il più rilevante: un container privilegiato con il filesystem dell'host montato equivale, nella pratica, al controllo della macchina che ospita Docker. Il perimetro del workspace salta e con esso la separazione tra clienti, progetti o reparti. Al momento la vulnerabilità non figura nel catalogo CISA KEV, quindi non ci sono conferme di sfruttamento attivo; la facilità di abuso da parte di un utente interno o di un account rubato la rende comunque prioritaria.

Come capire se sei esposto a CVE-2026-120460: verifica versione, esposizione e log

Versione installata

La versione è visibile nell'interfaccia web del server Jpom, nella pagina con le informazioni di sistema, e nel nome del pacchetto o del jar installato. Se Jpom gira in container, docker ps mostra il tag dell'immagine in uso. Qualsiasi valore pari o inferiore a 2.11.12 è vulnerabile.

Esposizione in rete

Sul server eseguite ss -tlnp e verificate su quale interfaccia ascolta la console Jpom (di default la porta 2122, ma controllate la vostra configurazione). Se la porta è raggiungibile da internet, un attaccante ha bisogno solo di credenziali valide, anche di basso livello. Controllate inoltre nel pannello Jpom l'elenco degli utenti con permesso Docker e in quali workspace.

Log e indicatori di compromissione

• Nei log operativi di Jpom cercate azioni su container, immagini, volumi o reti eseguite da utenti che non dovrebbero avere accesso a quell'host Docker.
• Sull'host Docker elencate i container privilegiati e i relativi mount: docker inspect --format '{{.Name}} {{.HostConfig.Privileged}} {{.Mounts}}' $(docker ps -aq). Un container privilegiato con mount di /, /etc o /var/run/docker.sock che nessuno riconosce è un segnale forte.
• Verificate immagini scaricate di recente con docker images --format '{{.Repository}}:{{.Tag}} {{.CreatedAt}}' e confrontatele con quelle previste.
• Controllate gli accessi al pannello da indirizzi o orari anomali.

Come risolvere la vulnerabilità CVE-2026-120460: patch e aggiornamento di Jpom

Il progetto ha pubblicato un commit di correzione (ff09fe8095a792cea9c4b8babd93a333655d0a28). La versione rilasciata che lo include va verificata sulle note di rilascio del repository ufficiale prima di aggiornare. La procedura in sintesi:

1. fate un backup completo di dati e configurazione di Jpom e degli host Docker gestiti;
2. individuate sul repository la prima release successiva alla 2.11.12 che contiene il fix;
3. aggiornate il server Jpom e, se previsto, gli agent;
4. verificate dopo l'aggiornamento che un utente di un workspace non riesca a richiamare asset Docker di un altro workspace.

Se non potete aggiornare subito, applicate le mitigazioni della sezione seguente: riducono il rischio ma non chiudono la falla.

Cosa fare subito contro CVE-2026-120460: mitigazioni e hardening

1. Togliete il permesso Docker a tutti gli utenti che non ne hanno un bisogno immediato. È la misura più efficace: senza quel permesso la falla non è utilizzabile.
2. Non esponete la console Jpom su internet. Mettetela dietro VPN o limitatela alle reti interne con regole firewall.
3. Rimuovete dagli asset gli host Docker non necessari, soprattutto quelli di produzione raggiungibili da workspace di test o di terzi.
4. Ruotate le credenziali degli account Jpom e attivate, dove disponibile, l'autenticazione a due fattori.
5. Limitate i danni possibili sull'host Docker: valutate rootless Docker o profili che impediscano container privilegiati, e non lasciate il socket Docker montato in container non indispensabili.
6. Segmentate la rete in modo che gli host Docker gestiti da Jpom non abbiano accesso libero a database, backup e sistemi di dominio.

Il rischio di container escape via container privilegiati non è nuovo: ne ho parlato anche per CVE-2026-120306 in Beta9. La logica di difesa è la stessa: chi può lanciare un container privilegiato controlla l'host.

Se sospetti una compromissione da CVE-2026-120460: incident response e analisi forense

Se trovate container privilegiati sconosciuti, immagini non previste o azioni Docker fuori perimetro nei log, trattate l'host come compromesso. Non spegnete la macchina e non cancellate i container sospetti: perdereste memoria volatile, processi attivi e tracce utili. Procedete così:

• isolate l'host dalla rete a livello di switch o firewall, lasciandolo acceso;
• conservate i log di Jpom, del demone Docker e di sistema, copiandoli su un supporto esterno;
• acquisite memoria e disco con una copia forense prima di qualsiasi bonifica, se il caso può avere seguiti legali o assicurativi;
• ruotate tutte le credenziali e i segreti che il container poteva leggere dall'host (chiavi SSH, token, variabili d'ambiente, file di configurazione);
• valutate con il DPO se l'evento comporta una violazione di dati personali da notificare ai sensi del GDPR.

Per interventi di incident response lavoro con preventivo a prezzo fisso, indicativamente da 1.500 a 6.000 euro secondo l'estensione dei sistemi coinvolti; un audit di sicurezza dell'infrastruttura container va da 2.000 a 8.000 euro.

Fonti ufficiali su CVE-2026-120460

• DockerContainerController.java nella versione 2.11.12
• DockerImagesController.java nella versione 2.11.12
• Commit di correzione nel repository Jpom
• Issue di riferimento sul repository Jpom

Serve una mano con Jpom e la sicurezza dei container?

Se gestite host Docker tramite Jpom e non siete sicuri di chi ha davvero il permesso Docker o di quali container girano in produzione, posso aiutarvi a verificare l'esposizione, aggiornare in sicurezza e rivedere la segmentazione. Potete richiedere un preventivo gratuito con risposta entro 24 ore oppure scrivermi dalla pagina contatti, anche via WhatsApp. Lavoro di persona a Varese, Como e Milano e da remoto in tutta Italia.