ArcaneはDockerコンテナ、イメージ、ネットワーク、およびボリュームを管理するためのインターフェースです。バージョン1.13.2以前では、認証されていないリクエストがリモート環境エージェントにプロキシされ、認証なしでリモート環境のリソースにアクセスできる問題がありました。環境プロキシのミドルウェアは、認証が強制される前にリモート環境向けの`/api/environments/{id}/...`リクエストを処理していました。環境IDがローカルでない場合、ミドルウェアはリクエストをプロキシし、呼び出し元が未認証であってもマネージャーが保持するエージェントトークンを付加していました。これにより、認証されていない攻撃者がリモート環境の操作（例：コンテナの一覧表示、ログのストリーミング、その他のエージェントエンドポイント）にアクセスおよび操作できる状態になっていました。認証されていない攻撃者がプロキシを介してリモート環境のリソースにアクセス・操作することで、データ漏洩、無許可の変更、サービス障害が発生する可能性があります。バージョン1.13.2でこの脆弱性は修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。