CVE-2026-112917
KrytyczneCVSS 9.2Streszczenie
W Docker Desktop dla Windows z backendem WSL2 nieuprzywilejowany kontener Linux może użyć 32-bitowego wywołania socketcall, aby obejść domyślne ograniczenie seccomp na AF_VSOCK. Może to ujawnić usługi hosta oraz pliki Windows dostępne dla zalogowanego użytkownika. Problem dotyczy x86-64 WSL2; backendy oparte na LinuxKit nie są dotknięte.
Ocena ryzyka
Kontener może uzyskać dostęp do usług i plików hosta, co narusza izolację kontenerów i może prowadzić do eskalacji uprawnień lub wycieku danych. Organizacje uruchamiające niezaufane kontenery w Docker Desktop są szczególnie narażone.
Rekomendacja
Zaktualizuj Docker Desktop do wersji 4.98.0 lub nowszej oraz WSL do wersji 3.0.3 lub nowszej — sama aktualizacja Docker Desktop przy starszym WSL nie usuwa podatności.
Inne podatności w Docker Desktop
Zobacz wszystkie- CVE-2026-114409Średnie
Docker Desktop przed wersją 4.97.0 mógł zapisywać klucze API firm trzecich oraz tokeny dostępu OAuth w postaci jawnej w lokalnych logach aplikacji i pakietach diagnostycznych z powodu niewystarczającej redakcji danych IPC. Atakujący z dostępem do odczytu tych plików mógł uzyskać poświadczenia; tokeny OAuth nie są tokenami konta Docker. Wersje 4.94.0 i 4.95.0 naprawiły znane ścieżki logowania, ale logi z poświadczeniami mogą pozostać po aktualizacji, a wersja 4.97.0 usuwa problem i obejmuje czyszczenie istniejących logów i zrzutów awarii.
- CVE-2026-8936Wysokie
W Docker Desktop 4.76.0 naprawiono błąd powodujący panikę maszyny wirtualnej (VM panic) w module jądra grpcfuse, wywołaną przez nieograniczoną rekurencję podczas tworzenia głęboko zagnieżdżonych katalogów w zamontowanym folderze hosta i wyzwoleniu zdarzenia unieważnienia dentry.
- CVE-2026-6406Wysokie
Flaga --use-api-socket w Docker CLI omija ograniczenia Enhanced Container Isolation (ECI) w Docker Desktop. Gdy ECI jest włączone, montowanie gniazda Dockera z kontenerów jest domyślnie blokowane, chyba że jawnie dozwolone w konfiguracji admin-settings. Flaga --use-api-socket dodaje montowanie gniazda przez pole HostConfig.Mounts zamiast HostConfig.Binds, a mechanizm ECI sprawdza tylko Binds, co pozwala na niekontrolowane montowanie. Daje to kontenerowi pełny dostęp do gniazda silnika Dockera, a jeśli użytkownik hosta jest zalogowany do rejestrów kontenerów, także do jego poświadczeń uwierzytelniających.
- CVE-2025-13743Wysokie
W pakietach diagnostycznych Docker Desktop znaleziono wygasłe tokeny Hub PAT, które trafiały do logów w wyniku serializacji obiektów błędów. Może to prowadzić do wycieku poufnych informacji w eksportowanych danych diagnostycznych, zwłaszcza gdy wystąpiły błędy odmowy dostępu.
- CVE-2025-9164Wysokie
Docker Desktop Installer.exe jest podatny na przejęcie DLL z powodu niebezpiecznej kolejności wyszukiwania DLL. Instalator szuka wymaganych bibliotek DLL w folderze Pobrane użytkownika przed sprawdzeniem katalogów systemowych, co umożliwia lokalną eskalację uprawnień poprzez umieszczenie złośliwej biblioteki DLL. Problem dotyczy Docker Desktop do wersji 4.48.0.
- CVE-2025-10657Wysokie
W Docker Desktop 4.46.0 z włączonym Enhanced Container Isolation (ECI) i używaną funkcją ograniczania komend, konfiguracja ograniczeń była ignorowana, co pozwalało na wykonanie dowolnych komend na Docker socket. Dotyczy to tylko kontenerów, którym administrator jawnie zezwolił na montowanie Docker socket.
Oryginalny opis (angielski, źródło NVD)
In Docker Desktop for Windows with the WSL2 backend, an unprivileged Linux container can use 32-bit socketcall to bypass the default seccomp restriction on AF_VSOCK. This can expose host-facing services and Windows files accessible to the logged-in user. The issue affects x86-64 WSL2; LinuxKit-based backends are unaffected. The issue is fully fixed only with Docker Desktop 4.98.0 or later and WSL 3.0.3 or later. Docker Desktop 4.98.0 or later running on an older WSL remains affected.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS