CVE-2025-10657
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W Docker Desktop 4.46.0 z włączonym Enhanced Container Isolation (ECI) i używaną funkcją ograniczania komend, konfiguracja ograniczeń była ignorowana, co pozwalało na wykonanie dowolnych komend na Docker socket. Dotyczy to tylko kontenerów, którym administrator jawnie zezwolił na montowanie Docker socket.
Ocena ryzyka
Atakujący w kontenerze z dostępem do Docker socket może wykonać dowolne komendy Docker, co prowadzi do eskalacji uprawnień i pełnej kontroli nad środowiskiem Docker.
Rekomendacja
Zaktualizuj Docker Desktop do wersji, która naprawia ten błąd, oraz przejrzyj konfigurację ECI i ograniczeń komend.
Inne podatności w Docker Desktop
Zobacz wszystkie- CVE-2026-112917Krytyczne
W Docker Desktop dla Windows z backendem WSL2 nieuprzywilejowany kontener Linux może użyć 32-bitowego wywołania socketcall, aby obejść domyślne ograniczenie seccomp na AF_VSOCK. Może to ujawnić usługi hosta oraz pliki Windows dostępne dla zalogowanego użytkownika. Problem dotyczy x86-64 WSL2; backendy oparte na LinuxKit nie są dotknięte.
- CVE-2026-114409Średnie
Docker Desktop przed wersją 4.97.0 mógł zapisywać klucze API firm trzecich oraz tokeny dostępu OAuth w postaci jawnej w lokalnych logach aplikacji i pakietach diagnostycznych z powodu niewystarczającej redakcji danych IPC. Atakujący z dostępem do odczytu tych plików mógł uzyskać poświadczenia; tokeny OAuth nie są tokenami konta Docker. Wersje 4.94.0 i 4.95.0 naprawiły znane ścieżki logowania, ale logi z poświadczeniami mogą pozostać po aktualizacji, a wersja 4.97.0 usuwa problem i obejmuje czyszczenie istniejących logów i zrzutów awarii.
- CVE-2026-8936Wysokie
W Docker Desktop 4.76.0 naprawiono błąd powodujący panikę maszyny wirtualnej (VM panic) w module jądra grpcfuse, wywołaną przez nieograniczoną rekurencję podczas tworzenia głęboko zagnieżdżonych katalogów w zamontowanym folderze hosta i wyzwoleniu zdarzenia unieważnienia dentry.
- CVE-2026-6406Wysokie
Flaga --use-api-socket w Docker CLI omija ograniczenia Enhanced Container Isolation (ECI) w Docker Desktop. Gdy ECI jest włączone, montowanie gniazda Dockera z kontenerów jest domyślnie blokowane, chyba że jawnie dozwolone w konfiguracji admin-settings. Flaga --use-api-socket dodaje montowanie gniazda przez pole HostConfig.Mounts zamiast HostConfig.Binds, a mechanizm ECI sprawdza tylko Binds, co pozwala na niekontrolowane montowanie. Daje to kontenerowi pełny dostęp do gniazda silnika Dockera, a jeśli użytkownik hosta jest zalogowany do rejestrów kontenerów, także do jego poświadczeń uwierzytelniających.
- CVE-2025-13743Wysokie
W pakietach diagnostycznych Docker Desktop znaleziono wygasłe tokeny Hub PAT, które trafiały do logów w wyniku serializacji obiektów błędów. Może to prowadzić do wycieku poufnych informacji w eksportowanych danych diagnostycznych, zwłaszcza gdy wystąpiły błędy odmowy dostępu.
- CVE-2025-9164Wysokie
Docker Desktop Installer.exe jest podatny na przejęcie DLL z powodu niebezpiecznej kolejności wyszukiwania DLL. Instalator szuka wymaganych bibliotek DLL w folderze Pobrane użytkownika przed sprawdzeniem katalogów systemowych, co umożliwia lokalną eskalację uprawnień poprzez umieszczenie złośliwej biblioteki DLL. Problem dotyczy Docker Desktop do wersji 4.48.0.
Oryginalny opis (angielski, źródło NVD)
In a hardened Docker environment, with Enhanced Container Isolation ( ECI https://docs.docker.com/enterprise/security/hardened-desktop/enhanced-container-isolation/ ) enabled, an administrator can utilize the command restrictions feature https://docs.docker.com/enterprise/security/hardened-desktop/enhanced-container-isolation/config/#command-restrictions to restrict commands that a container with a Docker socket mount may issue on that socket. Due to a software bug, the configuration to restrict commands was ignored when passed to ECI, allowing any command to be executed on the socket. This grants excessive privileges by permitting unrestricted access to powerful Docker commands. The vulnerability affects only Docker Desktop 4.46.0 users that have ECI enabled and are using the Docker socket command restrictions feature. In addition, since ECI restricts mounting the Docker socket into containers by default, it only affects containers which are explicitly allowed by the administrator to mount the Docker socket.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS