Нова критична уязвимост в Docker Desktop за Windows и macOS (CVE-2025-9074) позволява компрометиране на хост системата чрез изпълнение на злонамерен контейнер – дори при активирана функция за засилена изолация на контейнерите (Enhanced Container Isolation, ECI). Уязвимостта е оценена с 9.3 по CVSS скалата, което я поставя сред най-опасните в своя клас.
Какво представлява уязвимостта
Според бюлетина на Docker, проблемът се корени в server-side request forgery (SSRF), който позволява на контейнерите да достъпват Docker Engine API на адрес http://192.168.65.7:2375/ без никаква автентикация. Това отваря възможност за стартиране на нови контейнери и достъп до файловете на хост системата – без необходимост от монтиране на Docker socket.
Изследователят Феликс Буле демонстрира Proof-of-Concept експлойт, при който злонамерен контейнер може да монтира *C:* дял на Windows машината към файловата си система само с няколко HTTP POST заявки. Още по-тревожно е, че експлойтът не изисква предварително право за изпълнение на код в контейнера.
Рискове за Windows и macOS
Според Филип Дюгре, DevSecOps инженер в Pvotal Technologies, уязвимостта засяга Docker Desktop за Windows и macOS, но не и версиите за Linux. Той подчертава, че:
-
На Windows атакуващият може да монтира целия файлов масив, да чете чувствителни файлове и да презаписва системни DLL библиотеки. Това може да доведе до ескалация на привилегии до администратор на хоста.
-
На macOS уязвимостта е по-ограничена заради вградените защитни механизми – достъпът до потребителски директории изисква потвърждение от потребителя. Въпреки това, атакуващият получава пълен контрол върху приложението и контейнерите, което създава риск от бекдорване или неоторизирани промени в конфигурацията.
Лесна за експлоатация
Експлойтът, представен от изследователите, се състои само от три реда Python код, което показва колко лесно може да бъде злоупотребено с уязвимостта.
Реакция и защита
Уязвимостта е докладвана отговорно на Docker, които реагираха бързо и пуснаха нова версия – Docker Desktop 4.44.3, където проблемът е отстранен.
Препоръка: Всички потребители на Docker Desktop за Windows и macOS трябва незабавно да актуализират до версия 4.44.3 или по-нова, за да избегнат риска от компрометиране на системата.
